Gestire i servizi di Windows 2003 server

Transcript

1 Sommario Introduzione Al Networking... 3 Windows Server Installazione Servizio DHCP Windows Server 2003 : Active directory Installazione e dominio Creazione di utenti e gruppi Unire un computer al dominio Windows 2003 File server e Protezione su NTFS Interpretazione dei permessi Assegnazione dei permessi Condivisione di file in Windows Creare cartelle condivise Permessi di accesso alla condivisione Condivisioni nascoste Come Configurare un file server: condividere le cartelle e gestire i permessi Script di logon Profili utente Creazione della Home Directory dell utente Profilo utente itinerante o roaming Profilo utente bloccato Profilo centralizzato-bloccato comune a più utenti Group Policy Object (GPO) Regole computer e regole utente Configurare un PRINTSERVER Windows Server Update Services (WSUS) Replica Dei Domain Controllers File System Distribuito, DFS Windows 2003 Accesso remoto Creazione delle Politiche di Accesso Remoto Proprietà di Accesso Remoto dell'account Condizioni di una Politica di Accesso Remoto Profilo di una Politica di Accesso Remoto Server di Accesso Remoto

2 Server VPN Politiche di Accesso Remoto Windows Server 2003 gestione dei dischi Windows 2003 Fault Tolerance: Monitoraggi, backup e restore Attivazione dei sistemi di controllo e di monitoraggio Configurazioni RAID Backup e Restore Strategie di backup Backup in Windows Backup di file e cartelle Backup dello stato del sistema Pianificazione temporale dei backup Ripristino di file e cartelle Monitorare le prestazioni di Windows Server Monitor di sistema Registri contatori (counters logs) Monitoraggio della memoria Monitoraggio dei dischi Monitoraggio del processore Monitoraggio della rete Avvisi Microsoft Exchange Server

3 Introduzione Al Networking Gestire i servizi di Windows 2003 server Cosa è la Subnet Mask che inserite quando configurate i parametri del protocollo TCP/IP? Per chi ha sempre lavorato su reti locali (LAN) può sembrare un aspetto secondario o superfluo, ma quando avrete necessità di sicurezza o bisogno di dividere un range di indirizzi tra più sedi remote limitando inutili sprechi, allora il valore che attribuirete a questo parametro rivestirà un ruolo di primordine. In pratica, la subnet mask serve per far capire ai pc (nodi) se un dato indirizzo IP fa parte della propria LAN (livello 2 OSI) o se, per raggiungerlo, si renda necessario l uso di un Router o di un altro apparato per l instradamento (livello 3 OSI). Divide infatti i 32 bit dell indirizzo IP in 2 parti. Una è la Network Mask, ed identifica proprio la rete, e l altra è la Host Mask, quest ultima si riferisce ai computer (nodi) che fanno parte della network mask. Per consentire a tutti di comprendere più facilmente l argomento di discussione, prima di passare ad argomenti tecnici, proverò a fare questo paragone: Supponiamo dobbiate scrivermi una lettera. La cosa essenziale per fare in modo che mi arrivi è, ovviamente, scrivere il mio indirizzo: Nome Cognome Via, numero civico Città Quando le poste dovranno smistare la lettera lo faranno seguendo un ordine preciso e cioè, dal parametro che identifica la zona più estesa, fino a quello che si focalizza sull obiettivo: Città - Via Numero civico - Nome Cognome Se scrivete ad un mio collaboratore dovete cambiare solo il nome, ma tutta la parte relativa all instradamento rimane la stessa poichè identifica il posto dove ci troviamo. La consegna dei pacchetti IP, in Internet, avviene secondo lo stesso principio, grazie all uso del subnetting tutte le aree geografiche del pianeta sono state suddivise in sottoreti ed in base ai primi numeri che compongono l indirizzo IP del computer che state contattando, la comunicazione verrà instradata in America, in Russia, in Italia ecc. ecc. All interno delle aziende, sono concessi questi tipi di indirizzi: da a (1 Subnet di classe A) da a ( 16 Subnet di classe B) da a (255 Subnet di classe C) Esistono anche altre subnet, ma sono dedicate agli ISP oppure sono utilizzate per configurazioni sperimentali. 3

4 Bene, ora vediamo come applicare il subnetting alle nostre reti ed in quale modo la subnetmask separa l indirizzo necessario per l instradamento da quello relativo agli host presenti in rete. Prendiamo per esempio il classico indirizzo privato di classe C: IP: Subnet mask: Gateway: Ora trasformiamo in bit l indirizzo IP e la Subnetmask Usate la tabella per mettete a confronto i binari della subnetmask e dell ip dal bit 1 al bit 32. La maschera che riguarda l instradamento e identifica la rete, è la parte dell IP che arriva fino all ultimo bit positivo (1) della subnet mask. La parte host la si ha mettendo sempre a confronto i due binari ed inizia dal punto in cui trovate il primo bit negativo (0) nella subnet. Da ciò ne consegue che tutti gli indirizzi IP che iniziano per (Network Mask) fanno parte della stessa LAN e non hanno bisogno del gateway per essere raggiunti. Rimangono quindi a disposizione gli ultimi 8 bit da distribuire ai nostri client. In questo caso, capire quanti IP abbiamo a disposizione nella Host Mask è relativamente semplice utilizzando questa conversione: =0 (indirizzo di rete) =255 (indirizzo di broadcast) Gli indirizzi che sono maggiori di 0 e minori di 255 potranno quindi essere utilizzati nella propria rete. I due indirizzi (0 e 255) li ho esclusi perché servono convenzionalmente 1 per identificare la rete e l altro per il broadcart, ovvero la comunicazione simultanea con tutti i pc della LAN. Spesso troverete gli indirizzi ip seguiti da una barra e da un numero. Quello è un modo molto comune e più veloce per scrivere la subnetmask. Se prendete lo stesso esempio di prima noterete che la subnet mask in binario ha 24 bit positivi. Quindi lo stesso indirizzamento può essere descritto come /24. Bene, fatta questa premessa, iniziamo con qualche esempio pratico valutando alcuni casi ipotetici che vi si potrebbero presentare. Esempio n.1 Supponiamo di avere a disposizione il classico indirizzamento di classe C /24, ma di dovere creare 2 reti di uguale misura e che non si vedano l una con l altra. Quello che dobbiamo fare è quindi, calcolare una Subnet Mask adatta, che lasci liberi solo la metà degli indirizzi. 4

5 Vediamo cosa succede aggiungendo un altro bit positivo alla subnet di prima. Succede che il primo 0 dell ultimo ottetto, che prima faceva parte della Host Mask ora fa parte della networkmask e non può più essere cambiato senza poi risultare estraneo alla rete. I bit disponibili nella host mask non sono più otto ma solo sette e quindi: =0 indirizzo di rete =127 indirizzo di broadcast Il numero di host disponibili si può calcolare anche con la classica formula usata per le combinazioni numeriche ovvero elevando il numero di stadi per singolo elemento(2 per il sistema binario) al numero di elementi. In questo caso 2^7 (128). A questo risultato vanno sempre sottratti i due bit usati per network ID e broadcast. Il totale è quindi 126 Host disponibili. Nella rete /25 gli indirizzi che vanno da a sono IP di una unica rete. Nell esempio n.1 però avevate a disposizione il doppio degli IP. Nessuna paura, non li avete persi. E sufficiente passare a 1 il valore del primo bit dell ultimo ottetto dell indirizzo IP lasciando invariata la subnet mask ed il gioco è fatto =128 indirizzo di rete =255 indirizzo di broadcast Gli indirizzi validi solo per questa subnet ( /25) sono quindi da a ed in una maniera molto semplice avete diviso 2 reti utilizzando la stessa classe C. Per completezza trasformando la subnet mask in decimale avremo Esempio n.2 Aumentiamo il livello di difficoltà però questa volta, avendo sempre a disposizione lo stesso range di indirizzi IP /24, dobbiamo collegare 3 sedi della stessa città creando una MAN (acronimo di Metropolitan Area Network). I siti A,B,C dovranno contenere ognuno almeno 50 PC e probabilmente verrà aperta una quarta sede. Sviluppare l indirizzamento per il collegamento delle 3 sedi compreso quello dei router, come indicato dalla figura sotto: 5

6 Come facciamo? Semplice! Aggiungiamo qualche bit alla subnet di prima fino a che non otteniamo una sottorete che ospita un numero di pc o nodi adeguato alle nostre esigenze. Se aggiungiamo un ulteriore bit portando la subnet mask a 26 bit spezzeremo in ulteriori due parti il numero di host di cui disponevamo con una sub di 25 bit. Il calcolo per sapere il numero di host disponibili lo avete già visto prima comunque, con una Sub di 26 bit rimangono liberi 32-26=6 bit per gli host, per cui 2^6 2= 62 host disponibili. Ad ogni modo faccio una tabella con il calcoli possibili relativamente alla classe C in uso. Partendo dall ultimo ottetto completamente libero aggiungo ogni volta un bit di blocco della maschera. Ora, con l aiuto di questa tabella vediamo rapidamente che per le sedi A,B e C (che necessitano di 50 host) si rende necessario l utilizzo di una subnet mask di 26 bit ovvero: = Per quello che riguarda l indirizzamento dei router, in questo caso specifico, sono sufficienti subnetmask molto restrittive poiché per comunicare tra loro hanno bisogno di soli 2 IP. Da ciò assegno ad ogni router una maschera da 30 bit: =

7 L indirizzamento scelto sarebbe quindi il seguente: Per una eventuale sede futura non rimangono molte subnet libere. Lasciando spazio per qualche altro indirizzamento dei router rimane solamente la subnet /27. Comunque detto questo passiamo al posizionamento delle subnet calcolate sul disegno di prima, come indica la figura 2: Ecco fatto, la classe C è stata divisa come richiesto e tutto il traffico può essere instradato da una sede all altra. Ogni volta che un pc dovrà iniziare una comunicazione con un altro IP, prima verificherà se la network mask è identica alla propria. In caso affermativo stabilisce che l IP in questione fa parte della stessa LAN ed inizia una comunicazione diretta. Per chi vuole approfondire entra in gioco il protocollo ARP e l indirizzo di broadcast, ma in questa sede saremmo fuori tema. In caso le network mask non collimino, allora il PC chiede aiuto al gateway o router affinché instradi il traffico verso l IP richiesto. In realtà, affinché i router instradino correttamente il traffico verso una determinata subnet, è necessario istruirli e spiegargli quale o quali strade percorrere per arrivare alla meta. 7

8 Esempio n.3 Con l aumento degli IP da gestire e della dimensione della rete le cose si complicano, ma i calcoli da fare sono gli stessi già affrontati nell esempio n.2. L unica differenza è che molto probabilmente la vostra classe C non basterebbe. Supponiamo di dovere collegare 3 MAN identiche a quelle dell esempio n.2. Per la prima MAN abbiamo usato un indirizzamento tipo /24. Per la seconda e per la terza non faremo altro che usare rispettivamente le classi C /24 e /24. Se ci fate caso non ho scelto subnet a caso, ma contigue, in modo da potere identificare l interno network in caso di ulteriori espansioni. Come si fa ad identificare 3 classi C con un unico networkid? Cercando una subnet mask comune a tutte e trè! Trasformiamo in binario le 3 classi C che utilizzeremo per questo esempio. Nell ordine La subnet mask in tabella ( ) è comune a tutti e tre gli indirizzamenti e quindi la subnet /22 identifica l unione delle tre MAN. Un domani, prevedendo espansioni, sarà molto più semplice instradarvi il traffico. Comunque, tornando a noi, una soluzione per collegare tutte e tre le MAN potrebbe essere quella di utilizzare un unico router centrale. L unica modifica da apportare riguarda l ultima subnet mask usata per il collegamento degli ultimi 2 router nel secondo esempio. Se guardate la figura 3, noterete comunque in rosso tutte le modifiche effettuate, ed in verde i collegamenti che uniranno le MAN in una WAN. Questa modifica è stata apportata poiché se andate a vedere le subnet che avevo 8

9 dedicato ai router nell esempio n.2 consentivano la presenza di soli 2 host. Infatti se trasformate in binario la subnet /30 (e questa volta lo faccio fare a voi) vi accorgerete che vi restano solo 2 bit utilizzabili per gli host. Il problema è che per collegare il router centrale avevo necessariamente bisogno di un terzo IP nella stessa subnet. Poiché avevamo dello spazio libero dopo la /30 ho potuto liberare 1 bit della subnet mask ed ottenere ben sei Host utili. La subnet mask è quindi diventata equivalente a: ovvero 2^3-2=6 Host utili. La stessa cosa l'ho fatta nelle restanti 2 MAN ed ora, tutto il traffico che deve andare da una città all altra può essere instradato. Controllate il disegno per maggiori dettegli. Conclusioni: In ogni caso il networking si affina con molto esercizio, ed al di là dei calcoli che abbiamo fatto insieme o delle formule matematiche che troverete sui libri, per diventare veloci serve pratica e, possibilmente, ambienti di test flessibili e separati dall ambiente produttivo. 9

10 Windows Server Installazione Servizio DHCP In questo paragrafo dedicato al mondo Windows Server vedremo come configurare il servizio DHCP che risulta molto comodo in quanto evita la configurazione manuale delle impostazioni di rete nei client di dominio. Andiamo quindi a vedere come procedere: Dal menù Start andiamo nel pannello di controllo e clicchiamo su Installazione Applicazioni Premiamo il pulsante Installazioni componenti di Windows 10

11 Selezioniamo all'interno dell'eleco proposto Servizi di rete, quindi premiamo sul pulsante Dettagli Spuntiamo il checkbox corrispettivo al Protocollo DHCP e proseguiamo premendo il pulsante OK 11

12 Proseguiamo premendo il pulsante Avanti Concludiamo l'operazione premendo il tasto Fine Passiamo ora alla configurazione del protocollo 12

13 Premiamo il pulsante Start --> Tutti i programmi --> Strumenti di amministrazione -- > DHCP Come possiamo notare dalla freccia rossa rivolta verso il basso collocata sopra l'icona del server, il servizio è stato installato tuttavia non è partito correttamente, dobbiamo quindi ricordarci di riavviare il server 13

14 Vediamo ora come configurare il nostro range di indirizzi; facciamo click con il tasto destro del mouse sull'icona del nostro server, quindi selezioniamo Nuovo abito... Partirà un semplice wizard che ci porterà passo passo alla configurazione, proseguiamo pramendo il tasto Avanti 14

15 A questo punto all'interno delle textbox ci verrà chiesto di inserire il nome ed una descrizione per identificare il nostro ambito, tali informazioni risulteranno utili per identificare rapidamente il tipo di utilizzo nell'ambito della rete; inseriamo un nome e proseguiamo premendo il tasto Avanti Attenzione perchè adesso ci viene richiesto di inserire il pool di indirizzi da distribuire nell'ambito; nell'esempio mostrato in figura stiamo configurando una classe di indirizzi provata detta classe "C" ( x.x), quindi se nel nostro caso il primo indirizzo sarà che di solito è il nostro router dovremo partire dall'indirizzo successivo, quindi inseriamo nella textbox ; proseguiamo inserendo il nostro indirizzo finale della rete, quindi inseriamo Premessa: se vogliamo lasciare degli indirizzi liberi all'interno del nostro ambito da dedicare ad esempio a dei server possiamo farlo tranquillamente, basta accorciare il range degli indirizzi. Ad esempio se all'interno della nostra struttura vogliamo lasciare i primi 10 indirizzi liberi per poterli inserire staticamente possiamo inserire come 15

16 indirizzo iniziale il e come indirizzo finale il Nella stessa from, nella parte bassa ci viene chiesto di inserire la nostra subnet mask che che definisce il numero di bit di un indirizzo IP da utilizzare; nel nostro caso la classe è una 24 e la subnet sarà quindi Vedremo poi in una guida successiva come possiamo calcolare le nostre subnet. Finito il tutto procediamo segliendo il tasto Avanti. In riferimento a quanto detto sopra se avessimo scelto di tralasciare alcuni indirizzi dovremo quindi inserire il range in questa form che ci viene proposta; dal momento che nel nostro esmpio abbiamo scelto di non effettuare nessuna esclusione possiamo procedere premendo il tasto Avanti. In questa form ci viene richiesta la durata del lease, ossia per quanto tempo ad un client viene assegnato un indirizzo; calcolando che la media giornagliera della ore lavorative di una giornata sono 8, consiglio d'impostare un minimo di 10 ore, in modo 16

17 tale che se il client effettua un logoff durante il giorno il nostro servizio DHCP gli riassegna lo stesso ip. Procediamo premendo il tasto Avanti. Quando di assegna un indirizzo ai client si forniscono anche delle opzioni come ad esempio l'indirizzo di un router che se nel nostro caso ne siamo in possesso, diventerà anche il nostro gateway. Decidiamo quindi di poter configurare questa opzione e selezioniamo il checkbox relativo a: Si, configurare le opzioni adesso e procediamo nello step successivo premendo il tasto Avanti. Se il nostro router in questo caso è corrispondente all'indirizzo inseriamo il relativo ip nella textbox e premiamo il tasto Aggiungi. 17

18 Continuamo nella nostra configurazione premendo il tasto Avanti Inseriamo nella prima textbox il nome del nostro dominio padre che nel nostro esempio sarà sempre revhome.local e per configurare i client dell'ambito per l'utilizzo per i server DNS della rete, inseriamo nella textbox posta in basso il nome del nostro server ed il relativo indirizzo; oppure possiamo anche inserire il nome del nostro server e premere il pulsante Risolvi per vedere se il servizio DNS funziona corretamente. Se si troveremo il relativo indirizzo del nostro server nella textbox accanto al nome appena digitato. 18

19 Dopo aver verificato che l'indirizzo sia corretto, possiamo confermare premendo il tasto Aggiungi. Una volta aggiunto l'indirizzo del nostro server l'ip si spostarà in basso nelle listbox e possiamo proseguire premendo il tasto Avanti. 19

20 Possiamo saltare questa form in quanto non rilevante ai fini della nostra configurazione e proseguiamo premendo il tasto Avanti. Decidiamo di attivare l'ambito immediatamente, quindi scegliamo la checkbox corrispondente a: Si, attiva l'ambito adesso e proseguiamo premendo il tasto Avanti. Bene, abbiamo finito, dobbiamo solo concludere l'operazione del nostro wizard premendo il tasto Fine. Cosa sono le Prenotazioni o Reservation? gli indirizzi IP gestiti dal dhcp sono detti dinamici cioè l'indirizzo può non essere uguale ogni volta che il client effettua il logon (dopo che siano scadute le ore impostate). Se vogliamo che ad un client venga assegnato sempre lo stesso indirizzo dobbiamo 20

21 effettuare la cosiddetta prenotazione o reservation cioè la dedica di un indirizzo fisso all'interno del nostro DHCP che verrà identificato in base al mac-address della scheda di rete del nostro client. Andiamo a vedere come: Dal nostro servizio DHCP facciamo click con il tasto destro del mouse sulla scheda Prenotazioni e scegliamo Nuova prenotazione... Adesso inseriamo nella prima textbox il nome della nostra prenotazione, io consiglio di inserire il nome del nostro client, sarà più facile individuarlo in presenza di molte prenotazioni, nella seconda textbox inseriamo il numero dell'ip che vogliamo venga 21

22 sempre distribuito al nostro client, nel nostro esempio scriviamo ; proseguiamo inserendo nella terza textbox l'indirizzo MAC della scheda di rete del client; Come possiamo fare per conoscere l'indirizzo MAC della scheda di rete? Semplice! Basta andare sul client interessato aprire il prompt dei comandi con Start - -> Esegui --> Cmd e dentro alla finestra della shell scrivere questo comando: ipconfig /all (Vedi figura sotto) L'ultima textbox ci consente di inserire anche una descrizione aggiuntiva, io consiglio di inserire il nome e cognome del possessore del client; infine nella casella dei tipi supportati scegliamo Entrambi e premiamo il tasto Aggiungi. 22

23 Infine concludiamo la nostra Prenotazione premendo il tasto Chiudi. In questo modo al client di Stefano verrà sempre distribuito il seguente indirizzo: Bene, siamo quasi al termine della nostra procedura, adesso dobbiamo andare sui singoli client a modificare le impostazioni di rete in modo che il nostro DHCP possa configurarle in automatico; come possiamo fare? Vediamo come: Dalla connessioni di rete andiamo a selezionare con il tasto destro del mouse la nostra rete (LAN o WIRELESS che sia) e clicchiamo su Proprietà Selezioniamo il Protocollo TCP/IP e premiamo su Proprietà. 23

24 Selezioniamo il checkbox corrispondente a: Ottieni automaticamente indirizzo IP e verifichiamo a sua volta che sia selezionato l'altro checkbox relativo a: Ottieni indirizzo server DNS automaticamente; concludiamo infine premendo il tasto OK. Se i nostri client erano impostati con degli ip statici come possiamo fare per far si che prendano immediatamente le impostazioni appena configurate? Facile: Premiamo il pulsante Start --> Esegui --> Cmd ed una volta aperto il prompt scriviamo questi 2 semplici comandi: ipconfig /release (non spaventatevi il client perderà la connessione con la rete) seguito da ipconfig /renew; il client prenderà subito le impostazioni distribuite dal nostro DHCP. Escludere degli indirizzi Nella guida Devi essere registrato per poter vedere questo link abbiamo visto come configurare il servizio DHCP in un dominio Windows Server e come si configurano le prenotazioni di indirizzi per i clients. Tuttavia in un range di indirizzi che va ad esempio dal al a volte potrebbe esserci la necessità di avere una serie di indirizzi statici che potrebbero essere attribuiti ad alcuni apparati hardware che non supportano il servizio DHCP. In un dominio Windows Server 2003 Active Directory con installato il servizio DHCP esiste la possibilità di dedicare all'interno del servizio una serie di indirizzi che, una volta configurati non verranno mai distribuiti dal DHCP. Questa serie o pool di indirizzi esclusi dalla distribuzione è chimata appunto ESCLUSIONE. 24

25 In questa guida che ha configurato un DHCP che esclude già l'indirizzo , il ed il andremo a vedere come escludere altri 15 indirizzi in una rete provata che, come indicato nell'esempio sopra, utilizza questi range: > Vediamo intanto l'attuale configurazione: Clicchiamo sul pulsante Start --> Strumenti di amministrazione --> DHCP Selezioniamo nella parte sinistra del form Pool di indirizzi e noteremo subito che nella parte destra appare nel pool di indirizzi una configurazione che ho segnato con la freccia rossa. Come possiamo notare esiste un indirizzo IP iniziale che è il ed un indirizzo IP finale che è il Entrambi sono segnalati da questa icona: 25

26 Cosa significa tale configurazione? Significa che gli indirizzi IP , e non verranno mai distribuiti dal nostro DHCP, oppure il nostro DHCP distribuisce solo gli indirizzi compresi tra l'ip e Vediamo ora di impostare quanto abbiamo detto sopra, ossia escludere dal nostro range un altro pool di 15 indirizzi all'interno del nostro DHCP: Come esempio escluderemo il seguente pool di indirizzi: dall'ip all'ip che potremo dedicare ad apparti hardware che supportano solo indirizzi statici non distribuiti dal nostro servizio. Facciamo click con il tasto destro del mouse su Pool di indirizzi e selezioniamo Nuovo intervallo di Esclusione Ci verrà presentata la seguente maschera 26

27 Inseriamo nella prima texbox il primo indirizzo IP riportato nellìesempio, quindi il ed inseriamo nella seconda textbox l'ultimo indirizzo IP, quindi il e terminiamo l'operazione premendo il tasto aggiungi. Come possiamo notare nella parte destra della nostra form è apparsa una nuova riga di configurazione che ha come indirizzo iniziale l'ip e come indirizzo finale l'ip il tutto segnato dalla seguente icona che riporta la descrizione "Indirizzo escluso dalla distribuzione". Ovviamente la nostra configurazione è terminata ed ora possiamo essere più che sicuri che il gli indirizzi IP che vanno dal al non verranno mai distribuiti ai clients del nostro dominio e quindi potremmo dedicarli ad altro senza mai creare conflitti di indirizzi IP doppi all'interno del nostro dominio. Nell'esempio che abbiamo riportato siamo stati abbastanza fortunati perchè gli indirizzi che abbiamo voluto escludere erano consecutivi e quindi con una sola impostazione abbiamo potuto riservarli. Se invece la nostra necessità dovesse essere quella di escludere indirizzi non consecutivi, è chiaro che dobbiamo eseguire una configurazione per ogni indirizzo che vogliamo escludere in questo modo: 27

28 Nell'esempio che segue vedremo come escludere il singolo indirizzo IP , la procedura è la medisima della pèrecedente: Con la differenza che nell'aggiunta di esclusione dovremo inserire il singolo indirizzo. Ed il gioco è fatto! 28

29 Windows Server 2003 : Active directory Installazione e dominio In questo paragrafo esamineremo il processo d'installazione Active Directory e la conseguente creazione di un nuovo dominio con il sistema operativo di casa Microsft Windows Server Nei passi seguenti creeremo il nuovo dominio REVHOME.local di cui il nostro server Windows Server 2003 sarà il primo domain controller. Per fare quanto detto abbiamo a disposizione due strade. Aggiungere uh nuovo ruolo al server o digitare al prompt dei comandi il comando di installazione del serizio Decidiamo quindi di scegliere quella più breve e procediamo quindi come segue: Start -> Esegui e dentro la riga di comando scriviamo: dcpromo dopo qualche istante di preinstallazione di alcuni componenti binari, si arriva al wizard introduttivo (vedi figura sotto). Procediamo scegliendo il tasto Avanti 29

30 Procediamo ancora scegliendo il tasto Avanti A questo punto scegliamo l'opzione Controller di dominio di un nuovo dominio (come indicato nella figura) e confermiamo premendo il tasto Avanti 30

31 Continuamo scegliendo l'opzione Nuovo dominio in un nuovo insieme di strutture e procediamo premendo il tasto Avanti A questo punto dobbiamo installare il servizio DNS (Domain Name Service), quindi scegliamo l'opzione No, installa e configura il servizio DNS su questo computer e confermiamo premendo il tasto Avanti 31

32 Adesso dobbiamo immettere nella textbox il nome il nome DNS completo per il nuovo dominio che, nel nostro esempio sarà: REVDOMAIN.local e proseguiamo premendo il tasto Avanti Arrivati a questo punto dobbiamo inserire nella textbox il nome del dominio NetBios, che è che un nome alternativo utilizzato da alcune applicazioni ; il nome sarà proposto uguale al nome completo di dominio ma non siamo obbligati a mantenerlo, possiamo anche immettere un nome completamente diverso. Proseguiamo premendo il tasto Avanti 32

33 Lasciamo i valori proposti per le posizioni dei files del database e dei files di registro e proseguiamo premendo il tasto Avanti Stesso discorso vale per i files relativi alla cartella SysVol che contiene la copia dei files pubblici di dominio; Attenzione perchè, come indicato, la cartella SysVol dovrà trovarsi su un volume NTFS e procediamo quindi premendo il tasto Avanti 33

34 Attenzione perchè adesso dovremo scegliere le autorizzazioni predefinite per gli oggetti utenti e di gruppo e questo dovrà dipendere dalla nostra struttura degli altri server presenti; se allinterno della nostra foresta sono presenti server con versioni precedenti a Windows 2000 dovremo scegliere Autorizzazioni compatibili con sistemi operativi server precedenti a Windows 2000 ma questo comporterà agli utenti anonimi di poter leggere le informazioni relative al nostro dominio. In caso contrario dovremo procedere scegliendo l'opzione Autorizzazioni compatibili soltanto con sistemi operativi server Windows 2000 o Windows server Infine confermiamo il tutto premendo il tasto Avanti Arrivati a questo punto dobbiamo inserire nelle due texbox la password da assegnare all'account Administrator se il server verrà avviato in modalità di ripristino dei servizi Active Directory e confermiamo premendo ancora il tasto Avanti 34

35 Questa è l'ultima form del wizard dove avremo la possibilità di rivedere le nostre informazioni inserite ed eventualmente tornare indietro per modificarle o addirittura annullare tutta la procedura premendo il tasto Annulla. Se invece siamo sicuri di ciò che abbiamo fatto proseguiamo premendo il tasto Avanti Ecco che immediatamente parte la configurazione dell'active Directory come mostra la figura; pazientiamo alcuni istanti per la conclusione della procedura. 35

36 Perfetto! Il nostro dominio è stato creato e l'active Direcoty anche, non dobbiamo far altro che confermare il tutto premendo il tasto Fine Concludiamo, come richiesto riavviando il server premendo il tasto Riavvia Come possiamo notare, una volta che il server è stato riavviato, nella finestra d'autenticazione avremo una texbox aggiuntiva dove compare il nome del nostro dominio; inseriamo la password ed effettuiamo il logon premendo il tasto OK 36

37 Perfetto, il logon è avvenuto e se guardiamo nella voce Programmi -> Strumenti di amministrazione, noteremo che saranno state aggiunte le voci Active Direcotry e il servizio DNS. Attenzione perchè prima di spostare tutti i nostri clients e server sotto il dominio dobbiamo effettuare nell'active Direcoty la creazione degli utenti e dei gruppi. 37

38 Creazione di utenti e gruppi In questo paragrafo esaminiremo la procedura per la creazione di Gruppi di Protezione e il conseguente loro utilizzo all'interno delle directory condivise nel nostro dominio. Creeeremo infatti il gruppo chiamato Amministrazione del quale faranno parte gli utenti Mario Rossi, Bruno Bianchi e Giuseppe Verdi, i quali dovranno avere accesso alla cartella in share chiamata Amministrazione. Passiamo subito a vedere come: Dall'interno del nostro server Windows server 2003 premiamo sul pulsante Start --> Tutti i Programmi --> Utenti e computer di Active Directory ed passiamo ad esaminare la nostra interfaccia LDAP, come mostra la figura sotto: Come possiamo notare nella cartella Builtin sono raccolti tutti i gruppi di protezione creati di default dal nostro dominio. 38

39 Procediamo cliccando con il tasto destro del mouse sulla cartella Builtin, quindi scegliamo Nuovo --> Gruppo Tengo a precisare che non siamo obbligati alla creazione dei gruppi proprio nella cartella indicata, ma potremmo crearne anche una a nostro piacimento. Nelle textbox inseriamo il nome che vogliamo dare al nostro gruppo, nel nostro esempio scriveremo Amministrazione, quindi nella sezione Ambito del gruppo selezioniamo Globale e nel Tipo di gruppo selezioniamo Protezione ed infine confermiamo il tutto premendo il tasto OK. Come possiamo notare il gruppo Amministrazione è stato creato ed è stato inserito all'interno della cartella Builtin... bene non dobbiamo far altro che farci doppio click sopra. 39

40 Nella scheda Generale possiamo inserire nella textbox evidenziata, una descrizione più approfondita che sarà visualizzata all'interno dell'interfaccia della nostra Active Directory, in questo esempio scriveremo: Dipendenti ufficio Amministrazione e confermiamo premendo il tasto Applica. 40

41 Passiamo quindi alla scheda Membri ed andiamo ad inserire i dipendenti del nostro ufficio Amministrazione, premendo il tasto Aggiungi. Siccome sappiamo che i nostri utenti creati si chiamano Rossi, Verdi e Bianchi, all'interno della textbox che chiede d'immettere i nomi degli oggetti da selezionare, 41

42 scriviamo Rossi e premiamo il tasto Controlla nomi. Come possiamo notare il nostro sistema ha contattato il dominio ed ha individuato che l'utante Rossi ne fa parte, premiamo infine il tasto OK per aggiungerlo quindi al nostro gruppo; adesso non dobbiamo far altro che ripetere la stessa operazione anche per gli altri 2 utenti che in questo caso sono Bianchi e Verdi. Esiste tuttavia una procedura alternativa che può risultare molto comoda se per caso non ci dovessimo ricordare i nomi da inserire oppure i nominativi da aggiungere dovessero essere molti e quindi possiamo comunque procedere come segue: Dalla form di selezione Utenti, Contatti o Computer premiamo il tasto Avanzate 42

43 Si aprirà una form successiva dove è possibile stabilire dei criteri di ricerca dei nostri utenti, premiamo quindi il tasto Trova Ecco che immediatamente nei risultati della nostra ricerca abbiamo individuato subito i 43

44 nostri 3 utenti che dobbiamo rendere membri del gruppo amministrazione, a questo punto teniamo premuto il tasto CTRL e con il clieck sinistro del mouse selezioniamoli uno alla volta tutti e tre; concludiamo premendo il tasto OK. Ed ecco che tutti e tre insieme i nostri amici Rossi, Verdi e Bianchi sono apparsi nell'elenco del gruppo di protezione, non dobbiamo far altro che confermare premendo il tasto Ok. 44

45 Unire un computer al dominio Gestire i servizi di Windows 2003 server In questo paragrafo, andremo a vedere come si aggancia un client Xp o Vista ad un dominio Windows Server. Passiamo dunque a vedere come: Dal nostro desktop facciamo click col pulsante destro del mouse sull'icona Risorse del Computer e premiamo su Proprietà 45

46 Selezioniamo la scheda Nome Computer e premiamo il tasto Cambia Nella scheda Membro di dominio selezioaniamo appunto su Dominio ed immettiamo il nome che nel nostro caso è REVHOME, infine premiamo il tasto OK 46

47 A questo punto ci verranno richieste le credenziali di amministratore di dominio, quindi inseriremo utente Administrator e password quella predefinita (descritta nella Devi essere registrato per poter vedere questo link guida) e concludiamo premendo il tasto OK Attendiamo qualche istante in modo che il client contatti il nostro domain controller ed alla fine avremo il messaggio di conferma dell'avvenuta registrazione; non dobbiamo far altro che confermare premendo il tasto OK A questo punto ci verrà chiesto ri riavviare il computer, e noi premeremo il tasto OK 47

48 Verremo reindirizzati alla schermata delle proprietà di sistema, quindi procederemo premendo il tasto OK Confermiamo premendo il tasto SI ed attendiamo il riavvio 48

49 Come possiamo notare il client si è riavviato e se apriamo il nostro menù a tendina nella sezione Accedi a: sarà comparso il nome del nostro dominio; non dobbiamo far altro che effettuare il logon con le credenziali del nostro account 49

50 Windows 2003 File server e Protezione su NTFS Esempio di controllo di accesso ad una cartella condivisa Sulle partizioni NTFS, Windows 2003 permette di specificare Permessi NTFS per files e cartelle. A differenza dei permessi di condivisione che valgono solo nel caso di accessi via rete e si possono specificare solo per cartelle, i permessi NTFS valgono localmente e si possono specificare per le cartelle ma anche per il singolo file. È possibile specificare anche i Permessi NTFS sia per il singolo utente che per gruppi di utenti ed anche per loro è consigliata la strategia A G DL P. NTFS permette di associare ad ogni file e cartella una access control list (ACL) che contiene la lista degli utenti, dei gruppi e dei computer che hanno accesso a tale risorsa ed il tipo di accesso concesso. Affinchè un utente possa accedere a tale risorsa, la sua ACL deve contenere almeno una access control entry (ACE) relativa al particolare utente o ad uno dei gruppi cui appartiene. In caso contrario l'accesso viene negato. Tramite i Permessi NTFS specificati su una cartella è possibile controllare chi e come può accedere alla cartella ed ai files e sottocartelle in essa contenuti. In dettaglio, abbiamo a disposizione i seguenti Permessi NTFS per una Cartella: NTFS folder permission Allows the user to Read. Vedere files e cartelle contenute in tale cartella e vedere i suoi attributi, ownership e permessi. Write. Creare nella cartella nuove cartelle e files, modificarne gli attributi e vedere ownership e permessi. List Folder Contents. Vedere i nomi dei files e delle cartelle contenute nella cartella. Read & Execute. Navigare attraverso le cartelle, lanciare eseguibili più i permessi di Read e List Folder Contents. Modify. Eliminare la cartella più i permessi di Write e Read & Execute. Full Control. L'unione di tutti i permessi precedenti. Tramite i Permessi NTFS per un File è possibile controllare in dettaglio chi e come può accedere a tale file. Ovviamente tali permessi, se specificati, hanno precedenza 50

51 rispetto a quelli che il file eredita dalla carella che lo contiene. In dettaglio, abbiamo a disposizione i seguenti Permessi NTFS per una Cartella: Read. Leggere il files e visualizzarne gli attributi, l'ownership ed i permessi. Write. Modificare il file, modificare gli attributi e vedere ownership e permessi. Read & Execute. Eseguire applicazioni più i permessi di Read. Modify. Modificare ed eliminare il file più i permessi di Write e Read & Execute. Full Control. L'unione di tutti i permessi precedenti. Quando una partizione o un volume viene formattato NTFS, Windows 2000 automaticamente assegna sulla root il permesso NTFS Full Control al gruppo Everyone, che dunque avrà di default tale permesso NTFS su tutti i files e cartelle create in quella partizione o volume, a meno che non diversamente specificato. Interpretazione dei permessi Nell'interpretare i permessi, potrà capitare di incombere permessi contraddittori: ad esempio in una riga si consente l'accesso per un utente al quale era stato negato l'accesso del gruppo di cui appartiene. Il seguente è l'imperativo in grado di sciogliere l'equivoco: The Most Restrictive Permission Is the Effective Permission letteralmente il permesso più restrittivo, è quello effettivo. Quindi in caso di contrasto di due ergole appartenenti alla stessa lista, prevarrà la scelta della regola più restrittiva. Interpretazione dei permessi Linea guida nell'assegnazione di permessi NTFS: Rimuovere il permesso Full Control da gruppo Everyone. Assegnare il permesso Full Control al gruppo Administrators. Assegnare al Creator Owner Full Control delle sue cartelle dati. Educare gli Users nell'assegnare i permessi NTFS ai propri file. Home directory: Creare una cartella centrale denominata Users. Condividere la cartella Users. Rimuovere il permesso Full Control dal gruppo Everyone ed assegnarlo al gruppo Users. Usare la variablie d'ambiente %Username% per creare le home directory. 51

52 Assegnazione dei permessi Per poter assegnare i permessi NTFS ad un qualsiasi ggetto si devono rispettare alcuni requisiti fondamentali, quali: essere Owner; godere dell'insieme di permessi Full Control o quantomeno Special Access (Change Permission or Take Ownership). Permessi NTFS di default Il gruppo Everyone viene automaticamente assegnato con permessi Full Control ed i nuovi file ereditano i permessi della cartella nella quale vengono creati. Assegnazione dei permessi Best Practices Assegnare i permessi NTFS prima di condividere le risorse. Rendere gli eseguibili degli applicativi Read-Only per tutti gli Users. Utilizzare la variabile d'ambiente %Username% per creare le directory home per gli utenti. Assegnare all'account Creator Owner i permessi Full Control per le cartelle dati. Usare nomi lunghi solo se si accede alle risorse localmente. Condivisione di file in Windows Le Cartelle Condivise sono uno strumento per permettere agli utenti di accedere al contenuto di cartelle tramite la rete. Le cartelle condivise possono contenere applicazioni, dati pubblici e dati personali, permettendo quindi un'amministrazione centralizzata di tali informazioni. È evidente come sia necessario però poter controllare con una certa accuratezza chi e come accede a tali cartelle, cioè occorre poter specificare dei Permessi di Condivisione relativamente ad un utente o ad un gruppo di utenti. Per condividere una cartella bisogna innanzitutto appartenere ad uno dei gruppi che hanno il diritto di poter condividere cartelle relativamente al computer in cui la cartella risiede. Quando condividiamo una cartella, dobbiamo inoltre poter controllare gli accessi a tale cartella assegnando opportuni permessi a ben precisi utenti e gruppi. Inoltre, potrebbe essere necessario limitare il numero di accessi contemporanei che è possibile effettuare a tale condivisione. Infine, in qualsiasi istante dobbiamo essere in grado di interrompere la condivisione, modificare il nome di condivisione, modificare i permessi. 52

53 Creare cartelle condivise Quando si condivide una cartella: si assegna ad essa il nome di condivisione; si assegna eventualmente un commento che ne descriva il contenuto ed il proposito della condivisione; si limita eventualmente il numero di utenti che si possono connettere contemporaneamente a tale condivisione. si assegnano i permessi a gruppi di utenti o singoli utenti. opzionalmente, è possibile condividere la stessa cartella più volte. Per effettuare queste operazioni, selezionare la cartella in Windows Explorer e cliccando con il tasto destro scegliere Sharing. Utilizzando la scheda Sharing è possibile specificare le seguenti opzioni: Share this folder. Selezionare tale opzione per condividere la cartella. Share name. Specificare il nome che verrà assegnato alla condivisione e che verrà utilizzato dall'utente e dalle applicazioni ogni qualvolta intendano accedere ad essa. Di default viene proposto il nome della cartella. Tale campo è obbligatorio. Nella scelta di tale nome, tenere comunque conto che alcuni client potrebbero non essere in grado di visualizzare tutti i caratteri utilizzati. Comment. Descrizione, opzionale, che ha lo scopo di identificare il contenuto e/o lo scopo della condivisione. User Limit. Specificare il numero massimo di accessi concorrenti permessi a questa condivisione. Tale campo non è obbligatorio, poichè il valore di default Maximum Allowed fissa a 10 il numero massimo permesso per Windows 2000 Professional e nel caso di Windows 2000 Server è pari al numero di licenza acquistate. Permissions. Tale pulsante permette di assegnare permessi di accesso a tale condivisione ad utenti singoli o gruppi di utenti. Tale opzione non è obbligatoria poiche di default viene assegnato il permesso di Full Control al gruppo speciale Everyone. Finestra di set up della condivisione Permessi di accesso alla condivisione Ad ogni utente, gruppo di utenti o computer può essere garantito o negato il permesso di accedere alla condivisione, ed in ogni caso tale assegnazione è valida solo per accessi da remoto e non per accessi locali. Dunque i permessi di condivisione permettono di proteggere la risorsa per accessi da remoto ma non per accessi locali, inoltre essi si applicano a cartelle e non ai singoli files (valgono per tutto ciò che è contenuto nella cartella). 53

54 È possibile assegnare i seguenti permessi: Read. Visualizzare i nomi delle cartelle, dei files, i dati contenuti nei files, gli attributi ed eseguire eseguibili. Change. Oltre a tutto ciò che è garantito da Read, è possibile creare cartelle, aggiungere files, modificare files, modificare gli attributi, eliminare files e cartelle. Full Control. Oltre a tutto ciò che è garantito da Change è possibile modificare i permessi, acquisire la proprietà dei files (Ownership). Di default tale permesso è assegnato al gruppo speciale Everyone. Per quanto detto appare immediatamente evidente come, se non in casi eccezionali, quando si crea una condivisione la prima cosa da fare è rimuovere i permessi assegnati di default al gruppo Everyone ed assegnare ad ogni utente o gruppo di utenti i permessi strettamente necessari affinchè possano eseguire la loro attività. A tale proposito fare molta attenzione al fatto che i permessi di condivisione sono cumulativi: quando un utente accede ad una condivisione e in questa condivisione sono stati specificati sia permessi per l'utente che per alcuni o tutti i gruppi cui l'utente appartiene, allora il permesso risultante per quell'utente è la somma di tutti i permessi (in pratica il più ampio). Tale regola di cumulatività ammette una sola eccezione: se solo uno dei permessi è Deny, allora tutti gli altri permessi vengono sovrascritti ed il permesso risultante sarà un Deny. Alla luce di ciò si raccomanda di utilizzare il Deny con molta parsimonia, praticamente esclusivamente per gestire le situazioni in cui un utente appartiene ad un gruppo che risulta avere dei permessi di condivisione per una certa risorsa e si vuole che tali permessi non siano validi per lo specifico utente. Vediamo ora in dettaglio come impostare i permessi di accesso ad una condivisione, o come modificarli se già impostati. È possibile assegnare permessi di condivisione per una cartella residente sia su una partizione o vulume formattati come FAT, che FAT32 o NTFS. Si ricordi che, in quest'ultimo caso è necessario che l'utente abbia anche gli opportuni permessi NTFS. Per assegnare i permessi di condivisione ad utenti, gruppi e computer: Selezionare la cartella in Windows Explorer e cliccando con il tasto destro scegliere Sharing. Nella scheda Sharing scegliere Permission ed accedere alla finestra di diaologo Permissions. Selezionare Add ed in Select User Groups or Computers selezionare tramite Look in il dominio di cui interessa visualizzare gli utenti, i gruppi ed i computers. Selezionare l'utente, o il gruppo o il computer che interessa tramite Allow impostare il permesso che interessa. Per modificare le proprietà di una condivisione, selezionare la cartella in Windows Explorer e cliccando con il tasto destro scegliere Sharing. Di seguito le modifiche che è possibile apportare: Do not share this folder. Interrompere la condivisione. Tutti i settaggi, compresi i permessi, andranno persi. Modificare il nome di condivisione. Selezionare Do not share this folder per interrompere la condivisione, selezionare Apply e poi selezionare Share this Folder inserendo il nuovo nome di condivisione. Ovviamente nel frattempo avremo perso tutti i permessi precedentemente impostati. Permissions. Per modificare i permessi già impostati o aggiungerne di nuovi. New Share. Condividere nuovamente la cartella con un nome ed impostazioni diverse. Remove Share. 54

55 Compare solamente se la cartella è stata condivisa più di una volta e permette di rimuovere una delle condivisioni. Se quando selezioniamo Do not share this folder un qualche utente ha una connessione attiva, il sistema operativo ci avverte che un utente ha una connessione attiva e che se procediamo potrebbe perdere dei dati. Condivisioni nascoste Windows 2000 condivide automaticamente una serie di cartelle con lo scopo di permettere alcune funzionalità di sistema e permettere all'amministratore di svolgere le sue attività. Tali condivisioni sono tutte caratterizzate dal fatto che il loro nome di condivisione termina con il simbolo $. Tale caratteristica impedisce che la condivisione venga visualizzata quando l'utente sfoglia l'elenco delle condivisioni di quel server, cioè rende tale condivisione una Condivisione Nascosta. Visto lo scopo per il quale sono concepite, sono conosciute come Condivisioni Amministrative. Alcuni esempi di condivisioni nascoste sono tutte le unità logiche corrispondenti alle varie partizioni e volumi, la cartella di sistema, la cartella che contiene i drivers delle stampanti condivise, la condivisione utilizzata per i meccanismi di interprocess communication (IPC) utilizzati dai programmi: C$, D$, E$, e così via... Tali condivisioni nascoste permettono all'amministratore di connettersi a qualsiasi partizione e volume di una macchina in modo tale da poter svolgere attività amministrative. Admin$. La cartella di sistema (C:\Winnt, di default). Permette di accedere alla cartella di sistema senza che sia necessario conoscere la cartella fisica corrispondente. Print$. Permette ai client di scaricare i client della stampante condivisa dal server su cui la condivisione risiede. Corrisponde al path fisico Systemroot\System32\Spool\Drivers e viene creata quando condividiamo la prima stampante. I gruppi Administrators, Server Operators, e Print Operators hanno Full Control mentre il gruppo Everyone ha Read. IPC$. Permette l'implementazione dei meccanismi IPC. È possibile in ogni istante condividere ulteriori cartelle e fare in modo che siano condivisioni nascoste. Tali ulteriori condivisioni non risultano però essere delle condivisioni amministrative. L'unico modo per accedere ad una condivione nascosta è indicare per esteso il suo path UNC, cioè \\server\condivisione$. Come Configurare un file server: condividere le cartelle e gestire i permessi 55

56 Entriamo adesso in gestione del computer e sotto il disco C:\ noteremo che è stata precedentemente creata una cartella chiamata Amministrazione; facciamoci click con il tasto destro del mouse e scegliamo l'opzione Condivisione e Protezione. Nella scheda Condivisione scegliamo l'opzione Condividi Cartella ed immediatamente ci accorgeremo che nella textbox sottostante ci verrà proposto lo stesso nome della cartella, che possiamo tranquillamente tenere come buono e clicchiamo sul pulsante Autorizzazioni. 56

57 E' di fondamentale importanza sapere che all'interno di un servizio di fileservering esistono due tipi d'autorizzazioni: quelle di condivisione e quelle di protezione; ricordiamo sempre che le autorizzazioni più restrittive, distribuite nella condivisione o nella protezione, vincono sempre su quelle meno restrittive. Nel nostro caso vogliamo attribuire alle autorizzazioni di condivisione i permessi di everyone (cioè per tutti gli utenti del nostro dominio) ma in quelle di protezione vogliamo attribuire il solo accesso al gruppo Amministrazione, quindi essendo più restrittive (in questo caso) le autorizzazioni di protezione solo i membri del gruppo Amministrazione, cioè gli utenti Rossi, Verdi e Bianchi, potranno avervi accesso. Diamo quindi all'utente Everyone i permessi di modifica cliccando nella checkbox indicata dalla freccia rossa e procediamo premendo il tasto Ok. 57