Lärobok Nätverks- & Serveradministration för Gymnasiet

Administration av Nätverks- och Serverutrustning - Lärobok FÖRORD Detta är boken Administration av nätverks och serverutrustning V2015. Boken är anpassad efter gymnasieskolans kursplan GY2011 för kursen Administration av nätverks och serverutrustning med kurskod NÄVADMO. Boken är skriven med tanke på gymnasieelever på El- och energiprogrammet samt Teknikprogrammet och passar även till elever från andra gymnasieprogram som läser denna kurs. Med tanke på att samma punkter återkommer i kursplanerna till flera av gymnasieskolans kurser inom GY2011 så kan viss del av innehållet i denna bok vara samma som i någon annan av våra läroböcker anpassade för någon annan kurs. Till boken hör en Arbetsbok med Kontrollfrågor, Instuderingsuppgifter och Praktiska övningar. Gör övningarna i arbetsboken efter varje kapitel i denna bok. Om du käre läsare skulle hitta något i boken som du inte tycker stämmer eller om du saknar någon viktig del så får du gärna meddela detta till oss. Vi är oerhört tacksamma för alla kommentarer och tips. Det går bra att e-posta till Karl.moller@movant.se Karl ”Kalle” Möller, 2022. Samtliga varumärken som förekommer i boken tillhör innehavaren av varumärket. OBSERVERA ATT ALL KOPIERING ELLER ANNAT MÅNGFALDIGANDE AV DENNA BOK ELLER DELAR AV DEN ÄR FÖRBJUDET ENLIGT LAG. Första upplagan, utskriven 2022-08-15 FÖRFATTARENS FÖRORD Denna lärobok har skrivets med tanke på att användas i GY2011-kursen Administration av nätverks och serverutrustning. Jag har försökt att följa läroplanen så mycket som möjligt. Dock är den inte alltid så tydlig och innehåller en hel del som kan tolkas på olika sätt. Jag har i mitt arbete försökt att följa dessa riktlinjer: • • Ordentliga grundkunskaper är viktiga Rikligt med praktiska exempel Eftersom kursen Administration av nätverks och serverutrustning enbart har som förkunskapskrav att man läst Datorteknik 1a eller Datorteknik 1b så innehåller vårt läromedel många grundläggande moment inom Nätverksteknik. Vissa delar av innehållet i denna lärobok är därför identiskt med några av våra andra läroböcker inom ämnet Nätverksteknik. Samma moment återkommer nämligen i kursplanerna för flera av Skolverkets kurser. Det kan därför hända att du redan har kunskaper inom något av detta. Denna bok är tänkt att kunna användas både som läromedel både för självstudier och för lärarledd undervisning. Jag har för avsikt att uppdatera denna bok och utkomma med en ny version när behov uppkommer. Gör nu övningarna i Arbetsboken till kapitel 1 När du ser denna symbol och text så skall du ta fram Arbetsboken och gå till motsvarande kapitel i den. Där skall du svara på frågor, lösa instuderingsuppgifterna och utföra de praktiska övningarna som hör till det kapitel du just gått igenom. Lycka till med kursen! Windows Server vs. Skolverkets kursplaner Skolverket har i ämnet Nätverksteknik ett flertal olika kurser. Vissa delar av innehållet i dessa återkommer i flera av dem. Kurserna innehåller dessutom både moment av mer allmänteknisk karaktär och specifika funktioner, vilka vi i våra läromedel har valt att fokusera mot Windows Server. Det är vår ambition att inom en nära framtid ha läromedel till samtliga dessa kurser. Kurser i ämnet Nätverksteknik Administration av nätverks- och serverutrustning, 100 poäng, som bygger på kursen datorteknik la eller kursen datorteknik 1b. Nätverksteknik, 100 poäng. Nätverksadministration, 100 poäng, som bygger på kursen nätverksteknik. Nätverkssäkerhet, 100 poäng, som bygger på kursen nätverksteknik. Nätverksteknologier, 100 poäng, som bygger på kursen nätverksteknik. Föreslagen ordning Skolverket ger inga förslag till i vilken ordning dessa kurser skall hållas. Annat än att Nätverksteknik skall hållas föra de andra (förutom Administration av nätverks- och serverutrustning som bygger på Datorteknik 1A eller 1B). Jag föreslår därför följande ordning som känns mest naturlig enligt min tolkning: 1. Nätverksteknik 2. Nätverksadministration 3. Nätverksteknologier 4. Administration av nätverks- och serverutrustning 5. Nätverkssäkerhet Administration av nätverks- och serverutrustning ligger enligt min mening delvis utanför dessa kurser och handlar om delvis andra saker. Den kan köras fritt utan hänsyn till de övriga. Av denna anledning är boken till denna kurs i mycket en samling av grundläggande fakta inom dessa områden. Några av kurserna i ämnet Dator- och kommunikationsteknik har en naturlig koppling till kurserna i nätverk. Datorteknik 1A och Dator- och nätverksteknik bör som jag ser det köras före kurserna i Nätverksteknik. ÄMNESPLAN OCH KURSPLAN Nätverksteknik Ämnet nätverksteknik behandlar nätverksutrustning och it-systemlösningar samt övervakning för att uppnå hög driftsäkerhet inom nätverksområdet. Det behandlar också klienter och servrar samt hur övrig utrustning samverkar inom nätverksområdet. Dessutom behandlas programvara för både klienter och servrar samt administration av servertjänster i nätverksmiljö. Ämnets syfte Undervisningen i ämnet nätverksteknik ska syfta till att eleverna utvecklar kunskaper om lokala och globala datornätverk till den nivå som krävs för att yrkesmässigt administrera lokala nätverk och kunna säkerställa en snabb och säker kommunikation mellan ingående enheter. Undervisningen ska leda till att eleverna utvecklar kunskaper om hård- och mjukvaruinstallationer samt färdigheter i konfigurering, optimering, analys och administration av nätverk. Genom undervisningen ska eleverna ges möjlighet att utveckla förmåga att utföra vanliga arbetsuppgifter på vanligt förekommande system. Eleverna ska ges möjlighet att lösa problem, utföra felsökning och åtgärda fel, både självständigt och i samarbete med andra. I undervisningen ska eleverna ges möjlighet att utveckla sitt miljö- och säkerhetstänkande. Undervisningen ska leda till att eleverna utvecklar förmåga att möta och kommunicera med kunder och uppdragsgivare på ett serviceinriktat och kvalitetsmedvetet sätt. Eleverna ska ges möjlighet att utveckla förmåga att uttrycka sig både skriftligt och muntligt samt att dokumentera sitt arbete. I undervisningen ska praktiska och laborativa moment varvas med teoretiska moment. Undervisningen i ämnet nätverksteknik ska ge eleverna förutsättningar att utveckla följande: 1. Kunskaper om uppbyggnad och funktion av nätverks olika delar och komponenter. 2. Förmåga att planera sitt arbete samt att läsa och tolka instruktioner, manualer och andra dokument på både svenska och engelska. 3. Förmåga att utföra hårdvaru- och mjukvaruinstallation samt konfigurering, optimering, analys och administration av nätverksmiljöer. 4. Förmåga att bygga upp nätverk och anläggningar samt att skapa systemlösningar. 5. Förmåga att övervaka, underhålla, felsöka samt identifiera och åtgärda fel i utrustning i nätverksmiljöer. 6. Kunskaper om lagar och andra bestämmelser inom nätverksområdet. 7. Förmåga att arbeta på ett säkert sätt som förebygger skador på person, egendom och miljö. 8. Förmåga att dokumentera sitt arbete. 9. Förmåga att ge råd till användare av nätverkssystem och datorteknisk utrustning. Kurser i ämnet Administration av nätverks- och serverutrustning, 100 poäng, som bygger på kursen datorteknik 1a eller kursen datorteknik 1b. Nätverksteknik, 100 poäng. Nätverksadministration, 100 poäng, som bygger på kursen nätverksteknik. Nätverkssäkerhet, 100 poäng, som bygger på kursen nätverksteknik. Nätverksteknologier, 100 poäng, som bygger på kursen nätverksteknik. Administration av Nätverks och Serverutrustning, 100 poäng Kurskod: NÄVADMO Kursen nätverksteknologier omfattar punkterna 1-9 under rubriken Ämnets syfte, med särskild betoning på punkterna 5 och 6. Centralt innehåll Undervisningen i kursen ska behandla följande centrala innehåll: • • • • • • • • • • • • • • Referensmodellen open systems interconnection (OSI) och de olika skiktens specifika tjänst som är oberoende av de tekniker som används i lagret ovanför eller nedanför. Nättopologier, dvs. på vilket sätt olika noder i nätverk är kopplade till varandra. Konfigurering av anslutningstjänster till nätverkslagringsplatser. Konfigurering av system och hantering av funktionsfel. Hantering av olika former av nätverksutrustning, till exempel switchar, routrar och gateways. Utrustningens funktion och användningsområde. Hantering av strömbortfall i en servermiljö och konfigurering av larm vid driftavbrott. Implementering av driftsäkerhet på såväl disknivå som elkraftsnivå. Övervakning av nätverkstrafik och klienter samt hantering och övervakning med simple network management protocol (SNMP). Administration av användarrättigheter. Övervakning och styrning av rättigheter vid utdelning av nätverksåtkomst. Skydd av servrar och klienter i nätverksmiljö med hjälp av mjukvara och hårdvara. Kryptering av kommunikation mellan nät och servrar. Samordning av inloggning och auktorisering till olika system. Hantering och konfigurering av brandväggar. Lagar och andra bestämmelser, till exempel personuppgiftslagen, samt policydokument. Kunskapskrav Betyget E Eleven beskriver översiktligt hur nätverks olika delar och komponenter är uppbyggda och fungerar. Eleven planerar i samråd med handledare sitt arbete. I planeringen läser och tolkar eleven med viss säkerhet instruktioner, manualer och andra dokument. Eleven utför i samråd med handledare hårdvaru- och mjukvaruinstallation samt konfigurering, optimering, analys och administration av nätverksmiljöer. Eleven bygger också i samråd med handledare upp nätverk och anläggningar samt skapar med viss säkerhet systemlösningar. Dessutom utför eleven i samråd med handledare övervakning, underhåll och felsökning av samt identifierar och åtgärdar i samråd med handledare fel i utrustning i nätverksmiljöer. Arbetet utförs i enlighet med lagar och andra bestämmelser, på ett sätt som är miljömässigt och säkert både för eleven själv och andra. Resultatet av arbetet är tillfredsställande med avseende på funktion, säkerhet och kvalitet. När arbetet är utfört gör eleven en enkel dokumentation av sitt arbete. Eleven ger i samråd med handledare enkla råd till användare vid val av nätverkssystem och datorteknisk utrustning. När eleven samråder med handledare bedömer hon eller han med viss säkerhet den egna förmågan och situationens krav. Betyget D Betyget D innebär att kunskapskraven för E och till övervägande del för C är uppfyllda. Betyget C Eleven beskriver utförligt hur nätverks olika delar och komponenter är uppbyggda och fungerar. Eleven planerar efter samråd med handledare sitt arbete. I planeringen läser och tolkar eleven med viss säkerhet instruktioner, manualer och andra dokument. Eleven utför efter samråd med handledare hårdvaru- och mjukvaruinstallation samt konfigurering, optimering, analys och administration av nätverksmiljöer. Eleven bygger också efter samråd med handledare upp nätverk och anläggningar samt skapar med viss säkerhet systemlösningar. Dessutom utför eleven efter samråd med handledare övervakning, underhåll och felsökning av samt identifierar och åtgärdar efter samråd med handledare fel i utrustning i nätverksmiljöer. Arbetet utförs i enlighet med lagar och andra bestämmelser, på ett sätt som är miljömässigt och säkert både för eleven själv och andra. Resultatet av arbetet är tillfredsställande med avseende på funktion, säkerhet och kvalitet. När arbetet är utfört gör eleven en noggrann dokumentation av sitt arbete. Eleven ger efter samråd med handledare råd till användare vid val av nätverkssystem och datorteknisk utrustning. När eleven samråder med handledare bedömer hon eller han med viss säkerhet den egna förmågan och situationens krav. Betyget B Betyget B innebär att kunskapskraven för C och till övervägande del för A är uppfyllda. Betyget A Eleven beskriver utförligt och nyanserat hur nätverks olika delar och komponenter är uppbyggda och fungerar. Eleven planerar efter samråd med handledare sitt arbete. I planeringen läser och tolkar eleven med säkerhet instruktioner, manualer och andra dokument. Eleven utför efter samråd med handledare hårdvaru- och mjukvaruinstallation samt konfigurering, optimering, analys och administration av nätverksmiljöer. Eleven bygger också efter samråd med handledare upp nätverk och anläggningar samt skapar med säkerhet systemlösningar. Dessutom utför eleven efter samråd med handledare övervakning, underhåll och felsökning av samt identifierar och åtgärdar efter samråd med handledare fel i utrustning i nätverksmiljöer. Arbetet utförs i enlighet med lagar och andra bestämmelser, på ett sätt som är miljömässigt och säkert både för eleven själv och andra. Resultatet av arbetet är gott med avseende på funktion, säkerhet och kvalitet. När arbetet är utfört gör eleven en noggrann och utförlig dokumentation av sitt arbete. Eleven ger efter samråd med handledare avancerade råd till användare vid val av nätverkssystem och datorteknisk utrustning. När eleven samråder med handledare bedömer hon eller han med säkerhet den egna förmågan och situationens krav. Hämtad 2022-06-04 från: https://www.skolverket.se/undervisning/gymnasieskolan/laroplan-program-och-amnen-igymnasieskolan/gymnasieprogrammen/amne?url=1530314731%2Fsyllabuscw%2Fjsp%2Fsubject.ht m%3FsubjectCode%3DNAI%26courseCode%3DNAIADM0%26lang%3Dsv%26tos%3Dgy%26p%3Dp&s v.url=12.5dfee44715d35a5cdfa92a3#anchor_NAIADM0 Innan vi börjar - ESD-skydd Innan vi börjar genomgången av persondatorn så skall vi utfärda en varning. Kunskapen om statisk elektricitet (ESD=Electro Static Discharge) är ofta bristfällig hos många. Flera av komponenterna i en dator är känsliga för statisk elektricitet. Statisk elektricitet kan skada datorns komponenter utan att man märker det. Problemet kan komma månader efter man installerat komponenten och kan då få datorn att uppföra sig på diverse konstiga sätt. En datorkomponent (minne, processor, hårddisk) tål max 12 volts spänning och inte ens det i många fall. I en processor så finns det många miljoner ledningsbanor som vardera är mycket tunna. En för hög ström genom någon av dessa kan förstöra hela kretsen. När man hälsar eller tar i en annan person kan man få en ”elektrisk stöt”. Då är det ca 8000 volt (detta är ingen felskrivning det är verkligen 8000 volt). Varje centimeter som en sådan stöt färdas i luften är ca 10 000 volt. Nu tänker många att vid så hög volt så dör man ju. Detta är fel för det är inte spänningen (volten) som är farlig utan strömmen (ampere). En människa riskerar livet vid doser över 15mA (0,015 ampere). En datorkomponent kan dock förstöras utan att man känner någon elektrisk stöt. Detta gäller särskilt IC-kretsar såsom processor, minne och liknande. ESD ska man alltid vara vaksam mot så att man inte skadar datorns komponenter. Därför bör man alltid vara jordad i datorn när man jobbar i den. Detta gör man enklast med ett ESD-band som man fäster ena änden runt handleden och andra änden i datorn. Då har man alltid samma potential som datorn. Det finns även speciella ESD-mattor som man jordar. De finns dels för att läggas på bord men det finns också mattor som läggs på golvet vilket för att man är jordad redan när man står på mattan. Komponenterna bör förvaras i ESD-påsar. En ESD-påse är för att enkelt beskriva det tillverkad av ”plast som är strömledande”. Det betyder att när man plockar t.ex. ett minne ut påsen får man automatiskt samma potential som minnet när man tar i påsen och riskerar därmed inte att förstöras p.g.a. ESD. Om man behöver något, till exempel på ett kretskort, så finns det speciell ESF-tejp. Tejp är nämligen en sak som alstrat mycket statisk elektricitet. Att Prova själv Ta med en vanlig tejprulle in i ett helt mörkt rum. Rulla av en bit och kolla hur det lyser upp av statisk urladdning som sker när man rullar tejpen. Ha även med dig en tröja av något syntetiskt material och ta av dig den så ser du antagligen hur det blixtrar av blå blixtrar. DEL 1 - TEORI FÖR DATORNÄTVERK I denna del skall vi beröra följande punkter i kursplanen: • • • • • • • • Referensmodellen open systems interconnection (OSI) och de olika skiktens specifika tjänst som är oberoende av de tekniker som används i lagret ovanför eller nedanför. Hur information hanteras och hur utrustning och tjänster fungerar i samverkan i olika kommunikationslösningar. Accessmetoder för att upprätta kommunikation mellan olika enheter i ett datornätverk. Nätverkstopologier, dvs. på vilket sätt olika noder i nätverk är kopplade till varandra. Packet switching network, dvs. paketförmedling där data paketeras och adresseras mellan olika fysiska och logiska nivåer och komponenter i en datorbaserad kommunikationssituation. Nätverksprotokoll, dvs. hur digital kommunikation mellan olika datorenheter fungerar. Administration och konfiguration av nätverksprotokoll. Adressering i nätverk, kommunikation av data mellan olika enheter samt hur kommunikationen fungerar utifrån tekniska regler för de olika protokollen. Hur utdelning av adresser fungerar med dynamic host configuration protocol (DHCP). Subnätning, dvs. hur man delar upp ett datornätverk i mindre delar. Routningsprotokoll, hantering av kommunikation mellan olika adressområden samt olika vägar på vilka data sänds mellan sändare och mottagare i olika nätverk. 1. STANDARDER OCH STANDARDISERINGSORGAN Standardiseringsorgan En mycket viktig roll för datorkommunikationens utveckling spelar de olika standardiseringsorgan som finns. Om du till exempel ansluter till din internetleverantör med ett ADSL-modem så skall ju inte modemet som svarar behöva vara identiskt lika eller från samma tillverkare som ditt. Nätverkskort från olika leverantörer måste ju kunna kommunicera med varandra. Skrivare, oavsett märke, skall ju kunna anslutas med likadana kontakter, etcetera. Bland de standardiseringsorgan vars arbeten man mest kommer i kontakt med kan nämnas följande: IEEE Institute of Electrical and Electronics Engineers är ett amerikanskt ingenjörsförbund. IEEE svarar bl.a. för standarder för nätverk, t.ex. IEEE 802.x. Mest kända kanske är de olika standarderna för trådlösa nätverk, 802.11a, 802.11b, 802.11g och 802.11n. ISO ISO är en sammanslutning av ländernas nationella standardiseringsorgan, SIS från Sverige, DIN från Tyskland, ANSI från USA osv. ISO har bland annat skapat OSI-modellen. ITU ITU, Internationella Tele Unionen som är underordnad FN svarar bland annat för landsnummer inom telefonin (USA har nummer 1, Sverige 46, Storbritannien 44). En avdelning, ITU-T varar för Vstandarder för telefonnät och produkter för dessa, bland annat modem (t.ex. V.90) och för Xstandarder för datanät, (t.ex. X.25). ITU har också hand om internationella överenskommelser för tilldelning av radiofrekvenser för till exempel radio, TV och mobiltelefoni. Även vilka frekvenser som skall vara allmänna och tillåtna att använda utan krav på särskilt tillstånd. Till exempel för olika typer av radiokommunikation, radiostyrning, datorkommunikation och trådlösa nätverk. ETSI ETSI, European Telecommunications Standards Institute, är ett oberoende standardiseringsorgan för telekommunikation i Europa. Organisationens medlemmar kommer från drygt 50 länder och utgörs bland annat av nätoperatörer, tjänsteleverantörer, administrationer, tillverkare, forskningsorgan och användare. ETSI grundades 1988 på initiativ av Europeiska kommissionen. ETSI har bland annat tagit fram standarderna GSM och UMTS. PTS Post och Telestyrelsen. Denna bildades när telemarknaden avmonopoliserades. PTS övervakar de olika telebolagen och svarar för godkännandet av bl.a. modem i Sverige. Förut skulle modem och annan utrustning som kopplas in på telenätet vara godkänd av Televerket, nu skall den istället vara godkänd av PTS. PTS har även hand om den svenska frekvensplanen och hanterar tillstånd för olika typer av radiokommunikation såsom mobiltelefoni, radio och TV. RFC Request For Comments som publicerar standarder för internet och TCP/IP protokollen är inget egentligt standardiseringsorgan. Det är snarare en samling antagna riktlinjer. Om någon person (oftast programmerare) kommer på en användbar funktion så kan denne person skriva en dokumentation över denna och skicka den till IRTF, Internet Research Task Force, för behandling. När den sedan blivit godkänd så publiceras den på internet, tillgänglig för alla. Varje antagen RFC får ett unikt nummer, till exempel RFC791 Internet Protocol och RFC793 TCP/IP, Transmission Control Protocol. Gör nu övningarna i Arbetsboken till kapitel 1 2. REFERENSMODELLER Förutsättningar för kommunikation För att man skall kunna kommunicera mellan två parter så behöver man, oavsett om man talar om datorkommunikation, telegrafi, telefoni eller vanligt tal vissa bestämda regler att hålla sig till. Vissa grundläggande förutsättningar måste också vara uppfyllda för att kommunikationen skall kunna fungera. Man brukar tala om att sätta upp en Referensmodell för datorkommunikation. Reglerna som man sedan använder brukar man inom datavärlden kalla för Protokoll. Exempel på förutsättningar för kommunikation Fysisk överföring Den mest grundläggande förutsättningen är ju att man har någon form av förbindelse med varandra. Det kan vara en telegraf eller telefonledning med tillhörande telefoner eller telefaxar. Det kan också vara luften som förmedlar ljudvågor eller att man kan se varandra och tala genom teckenspråk. Kommunikationen kan ju också ibland vara enkelriktad, t.ex. radio eller TV, eller dubbelriktad fast endast åt ena hållet åt gången som t.ex. komradio. Att kasta ut en flaskpost och hoppas att den når rätt mottagare är ju inte särskilt tillförlitligt. Språk Att man har en fysisk förbindelse av något slag är inte tillräckligt. Om den ena parten endast talar svenska och den andra endast kinesiska så blir det ju inte en särskilt väl fungerande talkommunikation. Däremot kanske det går bra med teckenspråk om man kan överföra bild. Man behöver en uppsättning med regler som kodar det man vill meddela till ord, tecken eller symboler. Dialog Förutom ett gemensamt språk behövs också ett regelverk för dialogen. Om vi skall tala i telefon med varandra så kan vi ju inte prata i mun med varandra. Den ena måste ju veta när den andra vill svara eller säga något. Ännu viktigare är ju detta om man använder komradio eftersom kommunikationen här endast kan gå åt ett håll i taget. Man brukar ju då avsluta sin session med "kom" eller "over". Den som avslutar hela konversationen säger "klart slut" eller "over and out". Ämne Det som också behövs är ett gemensamt ämne. Kommunikationen måste också ha ett innehåll, ett ämne som är gemensamt för talare och lyssnare annars fyller ju inte kommunikationen någon funktion. Vi har nu gjort en modell för hur kommunikationen regleras. Detta brukar man kalla för en kommunikationsmodell. En fördel med att bygga upp kommunikationsmodellen i olika skikt är att innehållet i ett skikt kan bytas ut utan att resten av skikten påverkas. Till exempel kan vi i skikt 1, det fysiska skiktet, byta ut vanligt tal genom luften mot att tal i telefon eller mobiltelefon. Vidare kan vi byta ut skikt 2 till ett annat språk och ändå behålla samma ämne, dialog och fysiska skikt, så att två kineser likväl som två svenskar kan använda samma telefoner och telefonkabel och fortfarande tala om samma ämne. Datorkommunikation I datorvärlden, när man diskuterar datorkommunikation, brukar man väldigt ofta använda en kommunikationsmodell. Mest känd är den s.k. OSI-modellen som har blivit standardiserad. OSI står för Open Systems Interconnect. OSI-modellen har 7 skikt. 3. OSI-MODELLEN I datorvärlden, när man diskuterar datorkommunikation, brukar man väldigt ofta använda en kommunikationsmodell. Mest känd är den s.k. OSI-modellen som har blivit standardiserad. OSI står för Open Systems Interconnect. OSI-modellen har 7 skikt. Nummer 7 3 Svarar för Tillämpningar. Dataprogram såsom Web-läsare, ordbehandling, program för e-post, filöverföring etcetera. Presentation Översätter applikationen till format som passar för kommunikation. Kan även kryptera informationen innan den skickas ut på nätet. Session Delar upp informationen som kommer in och gör logisk koppling mellan enheter som kommunicerar. Transport Paketerar informationen, kontrollerar att inkommande data är ok. Om fel uppkommit begär mottagaren omsändning. Nätverk Adresserar information till rätt mottagare. 2 Datalänk Reglerar den fysiska överföringen. 1 Fysisk Fysiska kommunikationen. Till exempel typ av kabel och kontaktdon eller radiolänk. 6 5 4 Skikt Applikation För att komma ihåg de olika skikten kan man lära sig denna ramsa: All People Seem To Need Data Processing Eller om man vill räkna från "rätt" håll: Please Do Not Throw Sausage Pizza Away Exempel Internet Explorer Outlook Kryptering Winsock TCP UDP IP IPX Ethernet Token Ring UTP-5, RJ45 Koax Varför använder man OSI-modellen? En av anledningarna till att man har en kommunikationsmodell är att de olika skikten och hur de kommunicerar med varandra är reglerade med standarder. En tillverkare av t.ex. nätverkskort behöver bara ta hänsyn till skikt 1 och 2. Sedan fungerar det oberoende av vilka program och utrustningar som används i de andra skikten. Samma sak med den som skriver ett program (skikt 7). Det fungerar på samma sätt oberoende på vilket protokoll (skikt 3-4) och vilken kabeltyp (skikt 1) som används. När datorer skall kunna kommunicera med varandra så måste man göra det enligt vissa standarder, annars skulle inte t.ex. datorer av olika modeller och märken kunna kommunicera med varandra. Man skall också kunna kommunicera med varandra även om den ena datorn finns på ett fysiskt nätverk och den andra kommunicerar med hjälp av modem. Dessutom skall kommunikationen fungera mellan datorer som har olika operativsystem, olika nätverkskort, olika nätverkstyper etc. Ett sätt att göra detta möjligt är att använda sig av en kommunikationsarkitektur. OSI-modellen är en av de mest använda kommunikationsarkitekturerna. Dock används numer oftare TCP/IP modellen som skiljer sig lite grann. Läs mer om denna längre fram. Syftet med varje funktionsskikt i OSI modellen är att dessa skall tillhandahålla tjänster till det närmast överliggande skiktet utan att det överliggande skiktet ska behöva känna till några detaljer om hur tjänsten skapades. För varje skikt finns ett gränssnitt definierat för kommunikation med angränsade skikt. Gränssnittet beskriver hur tjänsterna från ett underliggande skikt ska vara utformade och hur överliggande skikt ska få tillgång till tjänsterna. Lite kortfattat om funktionsskikten 1 Fysiska skiktet (Physical) Det fysiska skiktet definierar gränssnittet mot nätverkskabeln. Det fysiska skiktet ansvarar för att databitar (ettor och nollor) överförs från en dator till en annan. Databitarna bearbetas inte på denna nivå. Standarder för kablar och kontakter ingår i detta skikt. 2 Datalänksskiktet (Data Link Layer) OBS Extremt förenklat! Det är först i detta skikt som data kan utläsas från strömmen av databitar från det fysiska skiktet. För att kunna utläsa data från de databitar som kommer från det fysiska skiktet indelas strömmen av databitar i datapaket. Ett datapaket är ett logiskt strukturerat paket i vilken data kan placeras. Exempel på hur ett datapaket kan se ut: Sänder - ID Sändar - ID Mottagar - ID Typ av paketram Data Kontrollsumma Mottagar - ID Typ av paketram Data Kontrollsumma = den dator som sänder data = den dator som är mottagare av data = Identifierar typ av protokoll som används = utgör informationen som skall överföras = en felkorrigering för att verifiera att datapaketet har mottagits korrekt. Datalänksskiktet ansvarar för att datapaketen överförs felfritt mellan två datorer via det fysiska skiktet. 3 Nätverksskiktet (Network) Ansvarar för adressering av meddelanden och översättning av logiska adresser och namn till fysiska adresser. Detta skikt bestämmer också den väg som skall användas när data skall skickas från en dator till en annan. Detta skikt hanterar även trafikproblem. 4 Transportskiktet (Transport) Detta skikt tar hand om feldetektering och återskapar data. Detta skikt garanterar att meddelanden som skickats till tillämpningsskiktet levereras till mottagaren. 5 Sessionsskiktet (Session) Detta skikt tillåter två program på olika datorer att etablera, använda och senare avsluta en direktkontakt som kallas session. Skiktet utför de funktioner, bland annat för säkerhet och igenkänning av namn, som behövs för att två program skall kunna kommunicera över nätverket. Utför även synkronisering av användaruppgifter (User Tasks) genom att placera checkpunkter i dataströmmen. Detta innebär att om fel uppstår i nätverket går endast de data som finns efter den senaste checkpunkten förlorade och måste sändas om. 6 Presentationsskiktet (Presentation) Detta skikt avgör vilket format som skall användas för överföring av data mellan datorer i nätverk. Skiktet kallas för nätverksöversättare. Det här skiktet har också hand om säkerheten i nätverket genom att tillhandahålla tjänster som till exempel kryptering. 7 Tillämpningsskiktet (Application) Det fungerar som ett fönster för processorer i tillämpningsprogrammen mot nätverket. Med detta skikt kan program få tillgång till tjänster i nätverket. Detta gäller tjänster som till exempel filöverföring, tillgång till databaser och elektronisk post. Kortfattat kan man dela in dessa sju skikt i tre kategorier Skikt 1–3 Dessa skikt är beroende av hårdvaran i nätet, och har helt olika utseende beroende på fabrikat, Dessa skikt är de som är bäst standardiserade, via ISO:s 8802-serien för olika nättyper. Skikt 4 Transportskiktet är ett utjämningsskikt som hanterar flödet på nätverkskabeln, till exempel hur olika paket ska överföras, felkorrigering mm. Skikt 5–7 Dessa skikt är hårdvaruberoende men bundna till en leverantörs produkter. Här återfinns de funktioner som erbjuds via olika nätverksprotokoll, till exempel NETBIOS. ISO levererar ingen standard för dessa skikt, däremot har olika leverantörer skapat produkter som har blivit (De Facto standard). Genom att specifikationerna till produkter av typen NETBIOS är öppna kan vilken leverantör som helst skapa produkter som är kompatibla. Hur skikten i OSI-modellen kommunicerar När data passerar de olika skikten tillfogas skiktspecifik information till de data som skall överföras via nätverket. Denna information tillfogas före data i datapaketet som sk "header" eller efter data som sk "trailer". Den tillfogade informationen läses av motsvarande skikt i mottagardatorn när datapaketet passerar på sin väg till tillämpningsprogrammet. Det fysiska skiktet tillfogar information utanför datapaketet i stället för att tillfoga information i datapaketet. Den information som tillfogas före datapaketet betecknas "preamble" och efter datapaketet "postample". IEEE 802 - Modellen En annan nätverksmodell har utvecklats av standardiseringsorganet IEEE. Denna utvecklades p.g.a. avsaknaden enhetligt utförande hos de LAN - produkter som framkommit. Projektet med att utveckla en nätverksstandard kallades 802 efter de år och den månad som den startades (februari 1980). 802-kommitèn var överens med ISO om det mesta i OSI-modellen, men ansåg att datalänksskiktet behövdes specificeras mer detaljerat. 802-projektet delade datalänksskiktet i två delskikt, Media Access Control Layer (MAC) och Logical Link Control Layer (LLC) LLC-skiktet utgör det övre av de två delskikten och definierar gränssnittet från datalänksskiktet mot det närmast överliggande skiktet. Detta gränssnitt kallas SAP (Service Access Points). Projekt 802 resulterade i ett antal dokument, inklusive nedanstående standarder för nätverkstopologier. • • • • • • • • • • • • 802.1 Internetworking 802.2 Logical Link Control (LLC) 802.3 definierar standard för bussnät, som till exempel Ethernet som använder en mekanism som kallas Carrier Sense Multiple Access/Collision Detection (CSMA/CD) 802.4 definierar standard för bussnät som använder s k token. ARCNET arkitekturen följer denna standard på många sätt. 802.5 definierar standarder för Token ring nätverk. 802.6 Metropolitan Area Network (MAN) 802.7 Broadband Technical Advisory Group . 802.8 Fiber-Optic Technical Advisory Group 802.9 Integrated Voice/Data Networks 802.10 Network security 802.11 Wireless Networks 802.12 Demand Priority Access LAN, 100BaseVG-AnyLAN IEEE definierade funktionen för LLC-skiktet i standard 802.2, 802.3 och funktionen för MAC-skiktet i standard 802.3, 802.4 och 802.5. Datalänk skiktet delas alltså upp i två skikt, Media Access Control Layer (MAC) och Logical Link Control Layer (LLC). MAC-skiktet, det lägre av de två, tillhandahåller delad åtkomst för datorernas nätverkskort (fysiskt skikt). MAC-skiktet kommunicerar med direkt med nätverkskortet och ansvarar för att leverera felfria data mellan två datorer i nätverket. Varje nätverkskort har en unik MAC-adress. Denna består av 6 bytes, totalt 48 bitar. Den skrivs med hexadecimala tecken. En adress kan t.ex. vara 00-AA-03-FB-22-61. Denna adress skall vara unik, det får inte finnas två kort i världen med samma adress. Antalet möjliga kort är 281 474 976 710 700 st så det skall ju räcka ett tag. LLC-skiktet, de övre av de två, hanterar datalänkskommunikation och definierar de logiska gränssnittspunkter (kallas Service Access Point, SAP), som andra datorer kan använda för att överföra information från LLC-skiktet till de övre OSI-lagren. Åtkomstmetoder För att datorerna skall kunna utnyttja nätverkskabeln krävs att detta utförs på ett reglerat och kontrollerat sätt. Detta kallas med ett annat ord för åtkomstmetoder (Access Method). Access metoderna är standardiserade av ISO, och ganska hårt knutna till en viss topologi. Åtkomstmetoderna täcker lager två och tre i ISO-modellen. Det finns tre olika metoder som dominerar, dessa är CSMA/CD, CSMA/CA och Token Passing. CSMA/CD används av Ethernet, CSMA/CA används av trådlösa nätverk, WLAN under 802.11standarden och Token Passing används av Token Ring nätverk. Accessmetod CSMA/CD CSMA/CA Token Passing Standardbeteckning IEEE 802.3 IEEE 802.11 IEEE 802.4 Används av Ethernet WLAN Token Ring CSMA/CD (Carrier Sense Multiple Access with Collision Detection) 1. Datorn som vill sända lyssnar om det pågår någon trafik på nätverket. 2. Om nätverket inte är upptaget börjar datorn att sända data. 3. Efter att datorn sänt färdigt lyssnar den igen för att se om någon annan har sänt samtidigt vilket i så fall skulle ha inneburet kollision. 4. Om datorn upptäckt en kollision så sänder det ut en signal till alla andra att vara tysta en liten stund. 5. De andra datorerna kommer då att vara tysta en slumpmässig tid (alla skall inte kunna börja sända samtidigt igen). 6. Datorn sänder sin data igen. 7. Efter sändningen lyssnar den igen efter kollisioner. Om detta har inträffat igen så fördubblas tiden då de andra datorerna skall vara tysta. 8. När datorn lyckats sända sin data är nätverket fritt för andra att kommunicera. CSMA/CA (Carrier Sense Multiple Access with Collision Avoidance) 1. 2. 3. 4. 5. Datorn som vill sända lyssnar om det pågår någon trafik på nätverket. Om nätverket inte är upptaget sänder datorn ut en sändningsförfrågan. Om datorn tillåts att sända skickar servern tillbaka en signal som tillåter sändning. När datorn får denna signal så börjar den att sända. När datorn sänt färdigt så skickar den en signal till servern att den är klar. Token Passing Ett visst bitmönster (Token, stafettpinne) skickas mellan datorerna på nätet. Datorn som erhåller Token har möjlighet att sända data till någon mottagare. Datan transporteras sedan till mottagaren med Token när den går runt i nätverket. Paketering av data Datalänk skiktet svarar också för paketering av data i paket, frames. Denna paketering är olika beroende på nätverkstopologi. Vi skall nu titta lite närmre på de två vanligaste topologierna, Ethernet och Token Ring. Ethernet I slutet på 60-talet utvecklade University of Hawaii ett WAN som kallades ALHOA (WAN är en förkortning av Wide Area Network). Universitetet hade behov av att koppla ihop de olika typer av datorer som fanns utspridda över universitetsområdet. En nyckelfunktion i nätverkskonstruktionen var något som kallas "Carrier-Sense Multiple Access with Collision Detection" (CSMA/CD). Detta nätverk byggde på den teknik som så småningom utvecklades till dagens Ethernet. 1975 släpptes den första Ethernet produkten. Ursprungsversionen av produkten klarade överföringshastigheten 2.94 Mbps och 100 arbetsstationer på 1 kilometer lång kabel. Ethernet är en s.k. connectionless transportmetod. Detta innebär att mottagaren av datan inte kvitterar mottagandet till sändaren. Felkontroll och handskakning mellan sändare och mottagare måste istället göras av själva transportprotokollet som man använder (transport skiktet). Man måste då använda protokoll som klarar detta, t.ex. TCP om man använder TCP/IP och SPX om man använder IPX/SPX. Ethernet använder CSMA/CD som accessmetod. Tre olika standarder för hastigheter finns, 10Mbit/s, Fast Ethernet 100 Mbit/s och Gigabit Ethernet som klarar 1000 Mbit/s. Ethernet är standardiserat som IEEE 802.3. Ethernet är den idag helt dominerande transportmetoden på nätverk. Datapaketen (Frames) i Ethernet ser ut så här: PRE Preamble, ett synkroniseringsfält bestående av 8 bytes där de 7 första har värdet 10101010, 10101010 osv. DA Destination Adress, Adressen till mottagaren (MAC adressen), 6 bytes SA Source Adress, Adressen till sändaren (MAC adressen), 6 bytes TYP Anger typ av nätprotokoll som används (IP, IPX etc.), 2 bytes IP har koden 0800, IPX har koden 8137 DATA Datan som skickas, max 1500 bytes FCS Frame Check Sequence, Checksumma beräknad enligt CRC-metoden, 4 bytes Nätverksprotokoll Vi skall nu titta lite närmare på olika nät- och transportprotokoll. Vi börjar med det enklaste, NetBEUI. NetBEUI NetBEUI, NetBIOS Extended User Interface, är ett litet mycket snabbt protokoll som mest används i Microsoft nätverk (Peer-to-Peer nätverk med Windows for Workgroups eller Windows 95/98, kan även användas i Windows NT men det är inte så vanligt). Detta protokoll används i stort sett inte längre. Fördelarna med NetBEUI är dess enkelhet vilket gör det lätt att konfigurera och snabbt att kommunicera med. Det behöver inte ställas in med några adresser eller andra konfigureringar. Protokollet adresserar enbart med datorernas unika datornamn, NetBIOS-namnen. Nackdelen med NetBEUI protokollet är att det inte kan routas, dvs. data kan inte transporteras via en router mellan två nätverk. Det bygger på Broadcasts, dvs. allmänna anrop på nätverket vilket ger sämre prestanda i ett stort nätverk. NetBIOS NetBIOS, Network Basic Input/Output System, hörde tidigare ihop med NetBEUI-protokollet. Numera så har man separerat de båda så att NetBIOS även kan användas ihop med andra protokoll. NetBIOS består av ett antal tjänster som programmen kan använda för att kommunicera på nätverket. NetBIOS används t.ex. för att möjliggöra delning av filer, kataloger och skrivare över både TCP/IP och IPX/SPX. NETBIOS använder unika logiska namn för att identifiera arbetsstationer, och för att hantera kommunikationer mellan noder. Ett NETBIOS -namn är ett unikt alfanumeriskt namn bestående av 1 till 15 tecken. Två datorer i ett nätverk kan också kommunicera med varandra i form av tvåvägskonversation. NETBIOS upprättar en logisk koppling, en session mellan datorerna. Sessionen används av datorerna för att utbyta data i form av NETBIOS-anrop eller s k "Server Message Block", SMB's. TCP/IP protokollen TCP/IP, Transmission Control Protocol/Internet Protocol, är en av de äldsta protokolluppsättningarna. Det utvecklades från början 1970-talet för stora nätverk. Speciellt för USA:s krigsmakt som behövde en säker datorkommunikation som kunde fungera även om väsentliga delar av nätverk, datorer och servar blev utslagna. På grund av detta gjorde man protokollen så att tjänster och datorer kunde fungera oberoende av någon central server eller kontrollerande enhet. Detta har bidragit till den stora spridning som dessa protokoll fått. TCP/IP består av många delar och olika tjänster. Regler för hur dessa är utformade finns att läsa om på internic's hemsida www.internic.net. Reglerna är upplagda i s.k. RFC, Request For Comment, där varje regel har ett unikt RFC-nummer. TCP/IP består av två huvudsakliga protokoll och ett antal tjänster. De huvudsakliga protokollen är IP, som hanterar adresseringen och TCP som hanterar flödeskontrollen och handskakningen mellan sändare och mottagare. Dessutom finns UDP som ibland ersätter TCP när man inte behöver ha någon kvittens efter mottagandet. När man använder TCP/IP protokollet så brukar man anpassa OSI-modellen efter hur de olika delarna i TCP/IP protokollet arbetar. Man får då följande kommunikationsmodell: Gör nu övningarna i Arbetsboken till kapitel 3 4. TCP/IP - Protokollen TCP/IP, Transmission Control Protocol/Internet Protocol, är en uppsättning med ett flertal protokoll och tjänster. De viktigaste delarna är just TCP och IP. Exempel på andra protokoll och tjänster som ingår är UDP, ARP, DNS, WINS, HTTP, FTP med flera. TCP/IP är det viktigaste av alla protokoll. Det används idag på i stort sett alla datorer och lokala nätverk samt inom internet. I detta kapitel går vi igenom teorin för grunderna inom TCP/IP och några av dess olika delar. IP-adresser har vi redan tagit upp i våra tidigare böcker och tar därför inte upp här igen. Om du känner dig osäker på detta, repetera Datorteknik 1A eller Dator- och Nätverksteknik. Historik för internet och TCP/IP Internet och TCP/IP har en, i datasammanhang, lång historia. Det fick en blygsam start redan 1964 när RAND Corp. fick i uppdrag av den Amerikanska försvarsmakten att skapa ett kommunikationssystem som skulle överleva stora katastrofer. Själva grundidén gick ut på att man skulle skapa ett antal noder, som skulle vara oberoende av varandra. Detta innebar att om något nätverk slogs ut så skulle de andra fortsätta att fungera. 1969 skapades fröet till det vi kallar för Internet, när fyra stycken universitetsdatorer i Kalifornien och Utah kopplades samman. Projektet fick sina pengar från den militära organisationen ARPA (Advanced Research Projects Agency) och kallades därför ARPANET. Med grundval av vad RAND hade kommit fram till, så utgick man ifrån följande punkter. • Man konstruerade nätet på så sätt att det skulle fungera även om en eller flera noder slogs ut. Informationen skulle kunna ta vilken väg som helst mellan två anslutna datorer. • Man såg till att det protokollet för nätverket säkerställde att rätt information nådde fram, även under mycket svåra förhållanden. Om informationen förändrats under överföringen skulle detta upptäckas av den mottagande datorn och samma information sändas en gång till, ända tills det gick bra. • Nätverket skulle inte vara bundet till en viss typ av dator. Alla datorer, oavsett märke och modell skulle kunna anslutas. Det enda som krävdes var programvara. • Nätverket skulle inte vara bundet till någon speciell typ av länk för fysisk överföring av data. Kommunikationssatellit, radio, koaxialkabel, mikrovågslänk eller en vanlig telefonlinje, allt skulle fungera lika bra men givetvis med olika prestanda i fråga om överföringshastighet. 1971 var 15 datorer anslutna. 1972 hade antalet ökat till 37. Idag är flera miljoner datorer anslutna till internet. Från början använde man protokollet NCP, Network Control Protocol. Allt eftersom fler datorer anslöts och trafiken ökade behövdes ett mer sofistikerat protokoll. 1973 introducerades TCP och 1981 kom IP. TCP/IP standardiserades 1982 och 1983 så ersattes NCP av TCP/IP. Det första operativsystemet att anamma TCP/IP var UNIX. Det är först fr.o.m. Windows 95 som operativsystem för persondatorer fullt ut kunnat använda TCP/IP. Länge ansågs nämligen datakraften i en persondator vara för liten för att kunna hantera detta protokoll. När det till exempel gäller Windows så var det först i Windows 95 som TCP/IP ingick som en standardkomponent. Numera finns det små styrkretsar med en storlek mindre än en tändsticksask som innehåller allt som erfordras för att kommunicera med TCP/IP samt även en webbsida och ett Ethernet interface. Kort översikt över TCP/IP TCP/IP består av många delar och olika tjänster. Regler för hur dessa är utformade finns att läsa om på internic's hemsida www.internic.net. Reglerna är upplagda i s.k. Request For Comment, RFC, där varje regel har ett unikt RFC-nummer. TCP/IP består av två huvudsakliga protokoll och ett antal tjänster. De huvudsakliga protokollen är IP, som hanterar adresseringen och TCP som hanterar flödeskontrollen och handskakningen mellan sändare och mottagare. Dessutom finns UDP som ibland ersätter TCP när man inte behöver ha någon kvittens efter mottagandet. IP, Internet Protocol är ett connectionless protokoll som arbetar i Nätverks-skiktet enligt OSImodellen. Det svarar för att informationen adresseras till rätt mottagare. För att kunna göra detta så används IP-adresser. IP skickar informationen i paket, även kallade Datagram. IP protokollet bygger på att varje dator och logisk enhet på nätverket har en unik IP-adress. Detta är ingen fysisk adress såsom t.ex. MACadressen utan är en logisk adress. En användare som inte har nätverkskort utan som istället kommunicerar med modem kan ha en IP-adress, dock ej en MAC adress. TCP, Transmission Control Protocol är den andra huvudkomponenten av TCP/IP protokollet. Det är ett connection oriented protocol. Detta innebär att det hanterar transportkontrollen mellan sändare och mottagare. Det återfinns därför i transport skiktet av OSI-modellen. TCP hanterar flödeskontroll och felkontroll mellan sändare och mottagare. Om mottagaren upptäcker att checksumman inte stämmer eller att vissa bitar har gått förlorade på vägen så kan han begära omsändning. TCP adresserar även data till det s.k. portnumret. Eftersom flera program och tjänster samtidigt kan kommunicera över en TCP/IP anslutning så måste informationen styras så att rätt data går till rätt applikation. Man kan ju t.ex. surfa på nätet samtidigt som man hämtar hem en fil och sänder iväg sin e-post. Olika protokoll har nämligen sitt eget portnummer. Om man har fler än en webbsida uppe samtidigt har dessa också var sitt portnummer. Portarna numreras från 1-65535. Nedan visas några av de vanligaste. Port nummer 21 23 25 80 Används av FTP Telnet SMTP HTTP Port nummer 119 161 443 Används av NNTP SNMP HTTPS I programmet Windows-brandväggen med avancerad säkerhet på en dator med Windows 10 kan man ange vilka portar som skall öppnas och vilka som skall stängas för inkommande resp. utgående trafik. UDP, User Datagram Protocol, är en enklare form av TCP. Den hanterar transporten men utan att göra någon flödeskontroll. Detta innebär att sändaren skickar iväg sina paket utan att vänta på att mottagaren svarar att han tagit emot dem. UDP kan även styra informationen till portar. Ett exempel på program som använder UDP är Real Audio med vars hjälp man sänder och lyssnar på radio över internet. De flesta övriga applikationer använder TCP. ARP, Adress Resolution Protocol, används när en dator skall skicka något till en mottagare och man vet IP-adressen men inte dess MAC-adress på nätverket. ARP skickar då ut ett Broadcast (allmänt anrop) på nätverket med förfrågan om att den dator som har den eftersökta IP-adressen skall svara. När man sedan får svaret så har man även fått reda på MAC adressen och man kan då fortsättningsvis sända direkt till efterfrågade mottagaren. ARP bygger upp en databas över datorer med dess IP adresser kontra MAC adresser. ICMP, Internet Control Message Protocol, hanterar felrapportering åt IP. Eftersom IP inte själv kan hantera fel, t.ex. om det inte får kontakt med avsedd IP-adress, använder det ICMP för detta. När man t.ex. använder kommandot PING så utnyttjar man ICMP. Kommandot PING <IP-adress> (skrivs vid DOS-promptern) så undersöks svarstiden för kommunikationen med denna IP-adress. Om man inte får kontakt med IP-adressen så får man i stället ett felmeddelande. Detta är ett enkelt sätt att kontrollera om man kan få kontakt med mottagaren över nätverket eller modemet. Ovan visas kommandot PING där man lyckats få kontakt med 192.168.0.110 . HTTP, Hypertext Transfer Text Protocol, är det protokoll som används av Web-läsare och hemsidor på internet. FTP, File Transfer Protocol, används för att hämta filer från en FTP-server på internet. TELNET är ett program som ger ett terminal likande utseende. När man använder Telnet så görs precis som i en terminal ingen databehandling i datorn. Telnet visar endast den information som den får in. SNMP, Simple Network Management Protocol, är ett protokoll med vars hjälp man kan kontrollera och styra utrustning på nätverket, exempelvis hubbar, routrar etc. Utrustningen måste dock vara kompatibel med SNMP för att detta skall gå. SMTP, Simple Mail Transport Protocol, är det vanligaste protokollet för att sända e-post över internet. POP3 är det vanligaste protokollet för att ta emot e-post över internet. NFS, Network File System, används för fildelning över internet i UNIX-datorer. Med hjälp av NFS kan en UNIX-dator t.ex. dela ut en katalog på sin hårddisk. DHCP, Dynamic Host Configuration Protocol, används för att dela ut IP-adresser till klientdatorer. Eftersom du måste ha en unik IP adress på varje dator så kan det efter ett tag bli svårt att överblicka vilka IP adresser som är upptagna och vilka som är lediga. Du måste också gå till varje dator för att ange IP-adress, subnet-mask och adress till Gateway (om sådan finns). Ett bättre sätt är då att använda en DHCP-server. WINS, Windows Internet Name Service, är en tjänst som möjliggör översättning mellan en dators IPadress och dess datornamn, NetBIOS-namnet. WINS är en databas som lagras i servern. När en dator vill kontakta en annan dator och man endast vet datornamnet så kontaktas WINS med en förfrågan om att få reda på den aktuella datorns IP-adress. När datorn fått reda på IP-adressen till mottagaren kan den starta kommunikationen. WINS-tjänsten fungerar även tillsammans med DHCP så att dynamiska IP-adresser kan användas. DNS, Domain Name System, är ansvarig för konvertering mellan internet domän namn (URL) och IPadresser. Om man vill gå till en viss adress på internet, till exempel www.tv4.se så måste ju Webläsaren få reda på IP-adressen till www.tv4.se. Då kontaktar datorns DNS-tjänst en DNS-server på internet för att där få reda på IP-adressen. Web-läsaren använder sedan IP-adressen den fått. Domännamnssystemet, DNS är en av de allra viktigaste på internet. Det är det system som översätter ett domännamn till en IP-adress så att man kommer till rätt server och får rätt information i sin webbläsare när man surfar till en adress. Det som gör det möjligt för oss att se all information via Internet sköts via Namnservrar, (DNSservrar). Namnservrar innehåller information om vilken IP-adress som en viss webbadress har. Det finns två typer av namnservrar, primär och sekundär. En primär namnserver får sin information från de zoner den är ansvarig för. En sekundär namnserver hämtar sin information från en primär namnserver. Dessutom mellanlagras tidigare utförda namnsökningar på andra servrar genom cachelagring. På det lokala nätverket har man oftast en eller flera lokal DNS-servrar som cachelagrar alla gjorda namnsökningar mot internet. Dessa DNS-servrar får i sin tur sin information från operatörens DNSservrar som i sin tur får den av landets eller toppdomänens namnservrar osv. Nedan visas en bild hur kommunikationen mellan DNS-servar går till: 1. 2. 3. 4. 5. 6. Du vill titta på hemsidan www.firman.se förfrågan skickas till din internetoperatör Internetoperatören frågar DNS för .se SUNIC om DNS-en till www.firman.se SUNIC svarar med IP till DNS för www.firman.se Internetoperatören frågar DNS för www.firman.se efter IP adress till www.firman.se DNS-en svarar med IP till www.firman.se Internetoperatören kontaktar webservern för www.firman.se 7. Webservern för www.firman.se svarar med begärd information 8. Innehållet på hemsidan skickas från internetoperatören till din dator Gör nu övningarna i Arbetsboken till kapitel 4 5. IP-ADRESSER IP-adresser En IP-adress består av 4 bytes (8-bitars oktetter), och den skrivs som 4 st decimala tal med punkt mellan sig. (Dumt nog skrivs den inte med hexadecimala tal som MAC-adressen, det hade varit betydligt enklare att räkna ut hur adressen ser ut binärt vilket man ibland har behov av att göra). En IP-adress kan t.ex. vara 192.168.144.249 Teoretiskt kan det alltså finnas 256 x 256 x 256 x 256 = 4 294 967 296 st Alltså drygt fyra miljarder. Nu kan tyvärr inte alla dessa användas vilket snart skall framgå. Även om man hade kunnat använda alla så skulle inte dessa räcka till i framtiden med den enormt snabba utveckling som är idag. Man har därför tagit fram en standard för en ny version av IP. Nuvarande versionen är version 4. Det man vill införa är version 6, kallad IPv6. Denna använder 128 bitar istället för de 32 som används idag. Detta ger i stort sett obegränsat antal IP-adresser att tillgå. En IPv6 adress skrivs som 8 st 16bitars hexadecimala tal, t.ex. som nedan: Standarden för IPv6 har funnits i flera år men den har inte helt slagit igenom ännu. Alla datorer i ett lokalt nätverk måste ha en egen unik IP-adress. Om två datorer har samma IPadress blir det konflikt och ingen av dem kan kommunicera. Detta gäller även för internet där varje ansluten dator måste ha en egen IP-adress. Man bör heller inte ha en IP-adress på en dator i ett lokalt nätverk som även återfinns på internet. Man kan dock utnyttja samma IP-adresser på olika lokala nätverk som inte har behov att direkt kunna kommunicera med varandra. Man kan därför inte välja en godtycklig IP-adress på sin dator. IP-adresserna för datorer som direkt ansluts mot internet regleras mycket noga av InterNIC. För att få koppla upp ett eget nätverk direkt mot internet med fast anslutning måste man ansöka hos InterNIC om att få erhålla en eller flera IPadresser. Oftast använder man sig av en operatör, ISP, och så länge man är uppkopplad via denna så lånar man en IP-adress av dem. Om man kopplar ihop ett eget lokalt nätverk där ingen dator skall vara direkt ansluten mot internet så finns det vissa IP-adresser som är "fria". Dessa kan man fritt få utnyttja på sina lokala nätverk. Nedanstående adresser får fritt utnyttjas på lokala nätverk, VIKTIGT: IP-adresser som inte används på internet och som man kan utnyttja fritt i sina egna nät. IP-adresser på egna nätverk Ofta använder man IP-adresserna 192.168.x.x i nätverk hemma och på företag. Absolut vanligast är nog 192.168.0.x. Då riskerar man inte att den lokala IP-adressen krockar med någon adress på internet. Det lokala nätverket kan man sedan ansluta mot internet via t.ex. en Router. Routern har, eller får, då på "utsidan" den "skarpa" IP-adressen mot internet medan den på "insidan" har en lokal adress. Nät-ID och Dator-ID I adressen skiljer man på Nät-ID och Dator-ID. Alla datorer som tillhör samma subnät, logiskt eller fysiskt, måste ha samma Nät-ID. Ingen dator får ha samma Dator-ID som en annan på samma subnät. Däremot kan två datorer på olika subnät ha samma Dator-ID, men inte samma Nät-ID. IP-klasser IP-adresser indelas i 3 olika huvudklasser, Klass A, Klass B och Klass C. Det som skiljer dessa åt är hur många bytes som normalt ingår i Nät-ID resp. Dator-ID. IP-adresserna indelas i 3 klasser. Vad som avgör om en IP-adress tillhör klass A, B eller C är värdet av den första oktetten i Nät-ID. Om den första oktetten i IP-adressen inleds med den binära siffran 0 så är det en klass A adress. Om den inleds med binärt 10 så tillhör den klass B och om den inleds med binärt 110 så tillhör den klass C. Det finns också klass D och klass E men dessa är reserverade för något som kallas multicast samt för framtida syften. Klass A En klass A adress har en byte reserverad för Nät-ID och tre byte reserverade för Dator-ID. Nät-ID inleds med binärt 0, teoretiskt alltså mellan 00000000-01111111 = 0-127. Adressen 0 kan dock inte vara ett Nät-ID, adressen 127 är reserverad för teständamål som s.k. loopback adress, även kallad Local Host. Nät ID kan alltså vara mellan 1 och 126. Tre byte är för Dator-ID som då kan vara mellan 0.0.0-255.255.255 vilket möjliggör ca. 16,5 miljoner datorer i varje klass A nät. Om du vill utnyttja klass A adresser i ditt eget privata nät skall du välja adresser mellan 10.0.0.010.255.255.255. Dessa är reserverade för privata nät. Klass B En klass B adress har två byte reserverad för Nät-ID och två bytes för Dator-ID. Första byten i Nät-ID börjar alltid med "10", teoretiskt alltså mellan 10000000-10111111 =128-191. Nät-ID kan alltså vara mellan 128.0 och 191.255 Två byte är för Dator-ID som då alltså kan vara mellan 0.0-255.255 (egentligen 0.1-255.254 eftersom ett Dator-ID inte kan sluta på 0 eller 255). Detta möjliggör ca. 65000 datorer i nätet. Om du vill utnyttja klass B adresser i ditt eget privata nät så skall du välja adresser mellan 172.16.0.0 - 172.31.255.255. Dessa är nämligen reserverade för privata nät. Klass C En klass C adress har tre byte reserverad för Nät-ID och en byte för Dator-ID. Första byten i Nät-ID börjar alltid med "110", teoretiskt alltså mellan 11000000-11011111 = 192 - 223. Nät-ID kan alltså vara mellan 192.0.0 och 223.255.255. En byte är för Dator-ID som alltså kan vara mellan 0-255, egentligen 1 - 254 eftersom ett Dator-ID inte kan sluta på 0 eller 255. Detta möjliggör 254 st datorer i nätet. Om du vill utnyttja klass C adresser i ditt eget privata nät så skall du välja adresser mellan 192.168.0.0 - 192.168.255.255. Dessa är nämligen reserverade för privata nät. Tanken med klassindelning Den ursprungliga tanken med internet var att alla datorer som var anslutna skulle ha en egen fast IPadress. Datorer inom samma företag eller organisation skulle då helst ha samma Nät-ID. Ett mycket stort företag eller ett universitet kunde då få ett eget klass A nät med plats för upp till 16 miljoner datorer. I hela världen kunde det då finnas 126 st sådana. Ett mellanstort företag kunde få ett klass B nät med plats för ca 65.000 datorer. I världen kunde det då finnas drygt 16.000 sådana nät. Ett mindre företag kunde få ett klass C nät med plats för 254 datorer. Totalt kan det finnas drygt 2 miljoner klass C nät. Idag är IP-adresserna på väg att ta slut eftersom utvecklingen inom internet har varit så snabb. Man har därför övergett den ursprungliga tanken med klasserna eftersom ingen längre kan få ett eget klass A eller B nät. Klass C näten är ju för små för de flesta företag. Istället för att alla datorer i alla nätverk skall ha en egen internet IP-adress så skapar man istället privata nät med de reserverade adresserna som finns för detta. För att ansluta näten mot internet använder man sig av Router eller Proxy Server som översätter de lokala privata IP-adresserna till företagets gemensamma IP-adress när man kommunicerar över internet. Det räcker alltså oftast med en enda skarp internet IP-adress för ett helt företag. Den eller de IP-adresser som man får när man skaffar en fast internetanslutning kan då vara antingen en klass A, klass B eller klass C adress. Detsamma gäller när man kopplar upp sig via modem. På sikt kommer dock inte nuvarande adresser att räcka till. Man kommer därför att införa den nya standarden IPv6. Denna är redan standardiserad och försök att använda den pågår. Problemet är dock all utrustning i form av datorer, nätverkskort, switchar och hubbar, routrar, internetservrar och brandväggar som måste uppgraderas eller bytas ut... Subnet-mask För att ange för datorn vad som är Nät-ID resp. Dator-ID så använder man sig av Subnet-mask. Subnet masken är ett binärt tal, 32 bitar med 4 oktetter. Den skrivs dock med decimala tal på samma sätt som IP-adressen. Exempel på en subnet mask är 255.255.255.0 Default Gateway Förutom IP-adressen och Subnet masken så måste man i de flesta fall även ange en Default Gateway -adress när man gör sina IP inställningar i en dator. Default Gateway är adressen till nätverkets primära Router. Routern används för att man skall kunna skicka vidare information till externa IPadresser, datorer som inte återfinns på det aktuella subnätet. Ett nätverk kan ha flera Routrar. Man anger en av dem som sin primära gateway, de övriga blir sekundära. DNS Förutom de tre värdena som skall anges för IP-adressen så behöver oftast även en DNS-server specificeras. Detta är ett måste om datorn skall kunna komma ut på internet samt om den skall kunna kommunicera med en server på det lokal nätverket. DNS-servern kan finnas på det lokala nätverket eller på internet. Längre fram i boken kommer vi gå igenom hur man konfigurerar DNS i Windows Server 2022. Läs mer om IP-adresser på www.iana.org Fasta och dynamiska IP-adresser I ett nätverk är det många enheter som kommunicerar och som behöver ha en egen IP-adress. Det gäller datorer, servrar, skrivare samt även andra enheter såsom switchar, accesspunkter mm. Även enheter som ansluter sig trådlöst (bärbara datorer, surfplattor och mobiler) behöver ha en egen IPadress. Man skulle kunna manuellt ange IP-adress till alla dessa enheter, men det skulle praktiskt bli i stort sett omöjligt. Varje ny enhet som ansluter sig till nätverket måste ju få en ny IP-adress. Till slut tar adresserna slut. Om man anger samma IP-adress som en annan enhet redan har så blir det konflikt på nätverket och ingen av enheterna med samma IP-adress kan kommunicera. Vissa typer av enheter bör eller måste ha en fast IP-adress. Det gäller t.ex. routrar, switchar, servrar och skrivare. Detta eftersom man konfigurerar inställningar i datorerna för kommunikation mot dessa typer av enheter. Andra enheter såsom datorer, surfplattor och mobiler, kan ha s.k. Dynamiska IP-adresser. Detta innebär att en enhet som ansluter sig till nätverket får "låna" en IP-adress av för en begränsad tid. När enheten inte längre är ansluten till nätverket så kan samma adress återanvändas och lånas ut till en annan enhet som ansluter sig. Funktionen som automatiskt delar ut IP-adresser kallas DHCP. Med hjälp av DHCP kan man tilldela alla de uppgifter som krävs, IP-adress, Default Gateway, Subnet Mask och DNS. Med DHCP kan man använda sig av Dynamiska IP-adresser. DHCP kan finnas på serverdatorn i nätverket eller i den router man använder för att ansluta sig till internet. Det senare är det absolut vanligaste i mindre nätverk. Du kan läsa mer om DHCP i senare kapitel av boken. IP-plan Eftersom vissa enheter behöver ha fasta IP-adresser och andra kan använda sig av dynamiska så bör man upprätta en plan över vilka IP-adresser man använder i sitt nätverk. Detta kallas för en IP-plan. I planen skall alla fasta IP-adresser som används finnas inskrivna. Det bör även finnas plats för nya fasta enheter som tillkommer. När man lägger till en ny fast enhet eller gör några ändringar så uppdaterar man IP-planen. PRAKTISKT EXEMPEL - KONFIGURATION AV NÄTVERK I WINDOWS Nu Skall vi praktiskt visa hur man konfigurerar nätverksinställningarna i Windows. Exemplet visar hur det ser ut i Windows 10. Funktionen är densamma i andra versioner av Windows även om utseendet kan vara lite olika. Windows 10 har mycket bra verktyg för att hantera nätverks-anslutningar. De flesta nätverksfunktionerna är sammanställda i Nätverks- och delningscenter som finns i Kontrollpanelen. Vi kommer i denna bok endast att ta upp hur man hanterar de vanligaste av dessa. De mer avancerade nätverksfunktionerna samt teori gällande nätverk behandlas senare i boken samt i vår bok Nätverksteknik. Status för nätverksanslutningen på en dator indikeras med en ikon i meddelandefältet. Om man klicka på denna så visas en lista över de nätverksanslutningar som är tillgängliga. Nätverks- och delningscenter För att hantera nätverksanslutningar finns i Windows 10 programmet, Nätverks- och delningscenter. I detta får man en överskådlig och bra sammanfattning över Nätverksplatser och de nätverksanslutningar som är aktiverade. Man kan se status för de olika anslutningarna och signalstyrkan för trådlösa nätverksanslutningar. Man ser också om man har åtkomst till ett lokalt nätverk och/eller internet. Detta visas även med en karta över nätverksstrukturen. Man startar Nätverks- och delningscenter genom Kontrollpanelen eller genom ikonen för Nätverksanslutning i meddelandefältet. I Nätverks- och delningscenter visas mitt i fönstret den aktuella Nätverksplatsen och de anslutningar som är aktiva för denna. Nedanför genvägar för ett antal funktioner och verktyg för att konfigurera nätverket. I vänsterkanten finns en meny med genvägar till ett antal funktioner. Nätverksplatser När en ny nätverksanslutning upptäcks av eller läggs upp i datorn så får man en fråga om vilken Nätverksplats detta är. Man kan välja en ny Nätverksplats för anslutningen eller att anslutningen hör till en befintlig. Man får också välja Nätverkstyp. Dessa är Hemnätverk, Arbetsplatsnätverk eller Offentligt nätverk. Vilket av dessa man väljer får betydelse hur brandväggen konfigureras för denna Nätverksplats. I ett Offentligt nätverk kommer datorn att skyddas och inte synas eller vara tillgänglig för andra datorer på samma nätverk. Välj detta för offentliga platser och andra platser än ditt hem eller kontor. I ett Arbetsplatsnätverk eller Hemnätverk så kommer datorn att synas för andra datorer på samma nätverk och man kan konfigurera datorn att dela mappar och filer med andra. Anpassa nätverksplatser Genom att klicka på ikonen intill en befintlig Nätverksplats så kan man göra ändringar för denna. Man kan ange ett Namn, välja Nätverkstyp och välja en ikon. Status och egenskaper för anslutna nätverk Om man i Nätverks- och delningscenter klickar på anslutningens namn för ett nätverk så får man upp ett fönster med uppgifter om anslutningen. Ett klick på Information visar information för anslutningen med bland annat uppgifter om vilka IP-adresser om används. För trådlösa nätverk är funktionerna något annorlunda. Trådlösa nätverk gås igenom längre fram i detta kapitel. Egenskaper för nätverksanslutning Om man vill visa eller ändra inställningarna för nätverksanslutningen så klickar man på Egenskaper. I detta fönster ser man under fliken Nätverk vilket nätverkskort som anslutningen sker med och vilka nätverksprotokoll och nätverkstjänster som är konfigurerade för anslutningen. Man kan här Installera, Avinstallera samt ange Egenskaper för dessa tjänster och protokoll. Om man klickar på Konfigurera så kan man konfigurera inställningarna för Nätverkskortet. Under fliken Avancerat så kan man ange flera olika inställningar för maskinvaran i detta. Om man vill ange IP-adresser för anslutningen så markerar man Internet Protocol Version 4 (TCP/IPv4). Här kan man välja att erhålla IP-adress automatiskt eller ange fasta IP-adresser. Man kan även ange en Alternativ konfiguration som träder i kraft om IP-adressen inte erhålls automatiskt. Om man klickar på Avancerat så kan man ange flera olika IP-adresser för datorn och Standardgateways samt flera olika IP-adresser till DNS-servrar och WINS-servrar. OBS! Man kan ha olika tjänster och protokoll för olika nätverksanslutningar i datorn och dessa kan ha olika konfiguration. Man kan till exempel ha en fast IP-adress för nätverksanslutningen med kabel och en dynamisk IP-adress för den trådlösa anslutningen. Diagnostisera och reparera Om man får problem med en nätverksanslutning så är första steget ofta att försöka Reparera denna. Genom att klicka på Diagnostisera i Statusfönstret för anslutningen så gör datorn ett försök att Reparera anslutningen. Då startas nätverkstjänsterna om och DHCP-servern kontaktas med begäran om en uppdaterad IP-adress. Oftast så lyckas detta… LOL inte! Funktioner i Nätverks- och delningscenter Vi skall nu kort beröra några av de funktioner som finns i menyn i Nätverks- och delningscentrat. Skapa en ny anslutning eller ett nytt nätverk För att ansluta till ett nytt nätverk så klickar man på Skapa en anslutning eller ett nätverk. Då startar en guide. Här väljer man först vilken typ av nätverksanslutning man skall välja. Man kan välja både kabelanslutna och trådlösa anslutningar, Bluetoothanslutningar, fjärranslutningar med modem och VPN-anslutningar. Välj önskad anslutningstyp och följ guiden så skapas anslutningen. Tips från verkligheten... Man kan skapa en tillfällig nätverksanslutning mellan två datorer även om man inte har någon Hub, Switch eller Trådlös accesspunkt. Man kan använda en korsad nätverkskabel eller, om datorerna är utrustande med trådlös anslutning, skapa ett ad hoc-nätverk (dator-till-dator nätverk). Nätverket kan användas till att överföra filer eller dela en internetanslutning. Anslut till ett nätverk Klicka på detta om du vill skapa en ny nätverksanslutning. Här visas en lista över de nätverksanslutningar som är upplagda i datorn. Man kan markera önskat nätverk och Ansluta eller Koppla ifrån anslutningen. Välj hemgrupp och delningsalternativ Detta alternativ konfigurerar datorns anslutning till en Hemgrupp. Felsök problem Med detta alternativ kan man felsöka problem med nätverksanslutningarna. Hantera trådlösa nätverk Klicka på Hantera trådlösa nätverk i Nätverks- och delningscenter om du vill visa de trådlösa nätverksanslutningar som lagts upp i datorn. Här visas en lista över dessa i prioriteringsordning uppifrån och ner. Om du vill ge en anslutning högre eller lägre prioritet kan du markera önskad anslutning och klicka på Flytta upp eller Flytta ner. Klicka på Lägg till om du vill lägga till ytterligare en trådlös nätverksanslutning. Då startar en guide. Här kan du välja att lägga till ett nätverk inom räckhåll genom att datorn då söker upp detta automatiskt. Om anslutningen inte kan hittas automatiskt kan du i stället välja Lägg till en nätverksprofil manuellt. Du kan även skapa ett ad hoc-nätverk mellan två datorer som saknar kabelanslutning. Om du väljer att lägga till anslutningen manuellt så får du ange uppgifter för nätverket. Ange Säkerhetstyp, Krypteringstyp samt det Lösenord som krävs och klicka på Nästa. Tips från verkligheten... Använd alltid Autentisering och Kryptering för de trådlösa nätverk som du skapar. Autentisering behövs för att inga obehöriga skall kunna ansluta till ditt nätverk då de både kan surfa gratis via din internetanslutning och komma åt innehållet i din dator. Kryptering behövs för att ingen skall kunna avlyssna nätverkstrafiken och snappa upp de lösenord du använder. Om flera trådlösa nätverkskort finns i datorn så kan man välja vilket kort som skall användas för respektive anslutning genom att klicka på Byt nätverkskort. Profiltyper för trådlösa nätverk kan också anges vilket innebär om alla användare av datorn skall ha individuella eller samma trådlösa anslutningar. Kortegenskaper för Trådlös nätverksanslutning Om man klickar på Kortegenskaper kommer man till Egenskaper för Trådlös nätverksanslutning. Här ser man vilket nätverkskort som anslutningen sker med och vilka nätverksprotokoll och nätverkstjänster som är konfigurerade för anslutningen. Man kan här Installera, Avinstallera samt ange Egenskaper för dessa tjänster och protokoll. OBS! Man kan ha olika tjänster och protokoll för olika nätverksanslutningar i datorn och dessa kan ha olika konfiguration. Man kan till exempel ha en fast IP-adress för nätverksanslutningen med kabel och en dynamisk IP-adress för den trådlösa anslutningen. Om man klickar på Konfigurera så kan man ange egenskaper för det trådlösa nätverkskortet. Under fliken Avancerat kan man ange olika egenskaper för den trådlösa kommunikationen, till exempel vilken kanal som skall användas. Status och Egenskaper för trådlös nätverksanslutning Om man i Nätverks- och delningscenter klickar på Status för ett trådlöst nätverk som är anslutet så får man upp ett fönster med uppgifter om anslutningen. Ett klick på Information visar information för anslutningen med bland annat uppgifter om vilka IP-adresser om används. Klickar man på Egenskaper för trådlösa nätverk så kan man ändra de egenskaper man angav när mar lade till det trådlösa nätverket. Under fliken Säkerhet kan man till exempel ange metod för autentisering och kryptering. Ändra inställningar för nätverkskort Om man klickar på Ändra inställningar för nätverkskort i Nätverks- och delningscenter så får man upp alla datorns nätverksanslutningar, kabel och trådlösa, i ett fönster. Här kan man aktivera, inaktivera, byta namn och diagnostisera dem. Delning av mappar Delning av mappar i Windows 10 fungerar olika beroende på om datorn är fristående (medlem i en Arbetsgrupp) eller medlem i en Domän. Dela ut en mapp över nätverket Om man vill att andra personer skall komma åt filer som man har i sin dator så kan man dela ut en, eller flera, mappar över nätverket. Det vanligaste är dock att man istället använder en server på företaget för att dela filer till flera personer. Tillvägagångssättet för att dela ut en mapp beror delvis på om man kryssat i Använd guiden delning under mappegenskaper. Vi utgår i vårt exempel att detta alternativ är valt vilket är standard. För att dela ut en mapp, högerklicka på den och välj Dela eller Egenskaper och fliken Delning. I det första fallet startar en guide, i det senare så visas nedanstående fönster. Här kan man klicka på knappen Dela och då startar samma guide. I guiden som startar skall man först välja vilka personer man vill dela ut mappen till. Man kan även välja grupper, till exempel Alla vilket innebär att alla kan komma åt mappen. När valt vem man vill dela med klickar man på Lägg till. Därefter anger man Behörighetsnivå för de man vill dela ut till. Det finns två olika behörighetsnivåer. Läsa innebär att personen kan läsa dokument i mappen men inte göra några ändringar eller ta bort något. Läsa/skriva innebär att personen kan läsa, ändra och lägga till filer och dokument i mappen. Klicka till sist på Dela så delas mappen ut. OBS! detta kräver administratörsrättigheter. Detta är för HEMANVÄNARE, yrkesmässigt använder vi knappen ”Avancerat”!!! Resursnamn, Datornamn och UNC-sökväg En mapp som delas ut på nätverket erhåller alltid ett resursnamn. Det är detta namn som visas på nätverket för alla som söker på nätet för att ansluta mot denna resurs. Resursnamnet tillsammans med det aktuella Datornamnet utgör den s.k. UNC-sökvägen. Denna skrivs som: \\Datornamn\Resursnamn. Datornamnet måste vara unikt för det aktuella nätverket och UNCsökvägen blir då en unik identifikation för resursen. UNC-sökvägen anges då man textbaserat skapar en nätverksanslutning. Ansluta till resurser Om man vill ansluta sig mot en utdelad resurs från en annan dator så kan man göra det på två sätt. Antingen så låter man datorn söka i nätverket efter tillgängliga resurser och man bläddrar därefter fram till önskad dator och resurs. Då blir filerna i den utdelade resursen åtkomliga för användaren med behörighetsnivåerna som har angetts på datorn som delar ut resursen. För att söka i nätverket så öppnar man ett mappfönster och klickar på Nätverk i mapplistan. Då visas alla datorer som har resurser att dela ut i det aktuella nätverket man är kopplat till. Dubbelklicka sedan på den önskade datorn så visas de resurser som delas ut av denna. Både mappar och skrivare visas. Dubbelklicka till sist på resursen du vill ansluta till så är det klart. Om man redan vet resursnamnet och datornamnet på den dator som delar ut resursen, m.a.o. UNCsökvägen, så kan man öppna ett mappfönster och helt enkelt bara skriva in denna i adressfältet. Då kommer man direkt in i den önskade resursen. Man kan även öppna ett fönster för Dator, högerklicka och välja Lägg till en nätverksplats. Då startar en guide som hjälper dig att ansluta mot önskad resurs. Med denna kan man även ansluta mot en FTP-plats på en server. Allt som sagts ovan förutsätter naturligtvis att datorn som delar ut resursen är påslagen samt att man har kompatibla nätverksinställningar på båda datorerna och att man har kontakt via nätverket. Ansluta nätverksenheter Om man permanent vill ansluta till en resurs så att denna automatiskt blir tillgänglig varje gång man startar datorn och loggar in så kan man "Mappa upp" den som en enhet. Resursen kommer då att bli en nätverksenhet och få en enhetsbokstav på samma sätt som en partition på hårddisken. För att ansluta en nätverksenhet så öppnar man först mappfönstret Dator där datorns enheter visas. Där klickar man sedan på knappen Anslut nätverksenhet i raden med funktionsknappar. Här väljer man en ledig enhetsbokstav, (t.ex. X:), som nätverksenheten kommer att få samt anger Nätverkssökvägen (UNC-sökvägen) till önskad resurs eller bläddrar fram till denna genom att klicka på Bläddra. Valet Återanslut vid inloggning innebär att nätverksenheten kommer anslutas varje gång man loggar in i datorn. Detta förutsatt att den är tillgänglig via aktuell nätverksanslutning. Om man försöker ansluta till en resurs eller ansluta en nätverksenhet mot en resurs som man automatiskt inte har behörighet till med sitt användarkonto så kommer man att få en fråga om att uppge användarnamn och lösenord med behörighet till resursen. Gör nu övningarna i Arbetsboken till kapitel 5 6. SUBNETTING Med hjälp av Subnetting så kan man dela upp sitt nätverk i flera mindre delnät, subnät. Anledningen till detta är att man vill separera sitt nät i flera delar. Antingen beroende på att olika delar av nätet finns på skilda platser och därför behöver har routrar samt någon WAN-koppling mellan varandra. Eller så kanske man av prestanda- eller säkerhetsskäl vill dela upp nätverket. För att de olika subnäten skall kunna kommunicera med varandra kopplar man sedan ihop dem med routrar. För att kunna dela upp ett nät i flera subnät så "lånar" man ett antal bitar av Dator-ID för att få ett större Nät-ID. Om man t.ex. har ett klass C-nät med adressen 192.168.0.0 och vill dela upp detta i 4 st subnät så kan man göra detta genom att istället för att använda subnet masken 255.255.255.0, använda 255.255.255.192. Man får då 4 st subnät med adresserna 192.168.0.0; 192.168.0.64; 192.168.0.128; 192.168.0.192. Varje av dessa subnät innehåller 64 st IP-adresser. Det ger plats för 62 st datorer eftersom den första adressen med Dator-ID=000000 betecknar själva nätets adress och den sista adressen med Dator-ID = 111111 är den s.k. Broadcast-adressen vilken används för att adressera alla datorer i subnätet på en gång. 6 bitar återstår då till Dator-ID som då kan vara mellan 000000-111111=0-63. Dator-ID 000000 kan inte användas av någon dator eftersom den betecknar subnätets egen adress. Dator-ID 111111 kan heller inte användas eftersom det är Broadcast-adress för subnätet. Med denna kan man anropa alla datorer i subnätet samtidigt. Vi studerar det hela binärt: Klass C nät som delats upp i 4 subnät med hjälp av subnet masken 255.255.255.192 Datorerna i subnät 1 i exemplet ovan får alltså adresserna 192.168.0.1-192.168.0.62. I subnät 2 får de adresserna 192.168.0.65 - 192.168.0.126 och i subnät 3 192.168.0.129 - 192.168.0.190. Slutligen i subnät 4 192.168.0.193 - 192.168.0.254. Samtliga datorer skall ha Subnet masken 255.255.255.192. Vi tar ytterligare ett exempel. Med Subnet masken 255.255.255.240 så får man istället 16 olika subnät. Varje av dem har då 4 bitars Dator-ID. Klass C nät som delats upp i 16 subnät med hjälp av subnet masken 255.255.255.240 Med fyra bitar i Dator-ID får man IP-adresser mellan 0000-1111, 0-15. Eftersom 0 och 15 försvinner återstår plats för 14 datorer. Om man behöver ha så många som 16 subnät så får man alltså bara plats med 14 datorer i varje nät. Har man behov av många subnät med samtidigt plats för många datorer så bör man istället välja att dela upp ett klass B- eller klass A-nät. Att dela upp ett klass B-nät eller klass A-nät fungerar precis på samma sätt. Om vi har klass B-nätet 172.16.0.0 med den normalt använda subnet masken 255.255.0.0 och vill dela upp det i 8 subnät så kan vi göra det genom att istället använda oss av subnet masken 255.255.224.0. Se bilden nedan. Klass B nät som delats upp i 8 subnät med hjälp av subnet masken 255.255.224.0 Varje av de 8 subnäten får 8192 st IP-adresser eftersom Dator-ID består av 13 bitar. IP-adresserna blir 00000 00000000-11111 11111111. Varken adressen med enbart nollor eller den med enbart ettor kan ju användas (nätets egen IP samt Broadcast IP för nätet). Detta gör att varje subnät kan bestå av 8190 st datorer. Kom ihåg att subnät 1 och subnät 8 i ovanstående exempel kanske inte kan användas. Det beror på den nätverksutrustning och det operativsystem som du använder. Kontrollera detta innan du planerar ditt nät. Vi sammanfattar de olika varianterna att dela upp nätverk i subnät: Subnetting av Klass C-nät: Att dela upp ett klass C-nät i 128 st subnät är inte så bra. Då får man nämligen bara en bit för DatorID som då enbart kan vara 1 eller 0 och ingen av dem är giltiga adresser. Subnetting av Klass B-nät: När man delar upp ett klass B-nät i 256 st subnät så blir resultatet att varje subnät blir som ett klass C-nät med subnet masken 255.255.255.0 och med 254 datorer per nät. Man kan också låna fler än 8 bitar och resultatet blir då samma som att dela upp klass C-näten. Subnetting av Klass A-nät: När man delar upp ett klass A-nät i 256 st subnät så blir resultatet att varje subnät blir som ett klass B-nät med subnet masken 255.255.0.0 och med 65534 datorer per nät. Man kan också låna fler än 8 bitar och resultatet blir då samma som att dela upp klass B-näten. Hjälp att räkna binärt När man arbetar med IP-adresser, och särskilt när man "subnettar", så blir det mycket räknande med binära tal. Ett bra tips kan då vara att utnyttja kalkylatorn i Windows. När denna visas i avancerat läge (scientific) så kan den göra beräkningar med tal som visas i olika talsystem. Man kan ställa in den att visa Hexadecimalt, Decimalt, Oktalt eller Binärt. När man byter mellan dessa visningssätt så konverteras det aktuella talet automatiskt över till det nya talsystemet. Det finns också booleska funktioner såsom AND OR och XOR. Ett annat sätt kan vara att använda översättningstabeller mellan olika talsystem. Det kan också vara bra att lära sig en del vanligt förekommande tal, speciellt de som ofta förekommer som subnet mask. Supernetting, CIDR Supernetting är en variant av Subnetting. Istället för dela upp ett nät i ett antal mindre subnät så slår man ihop flera delnät till ett större nät. Man kan t.ex. slå samman 8 st klass C-nät normalt med plats för vardera 254 datorer till ett större subnät med plats för 2046 datorer. Supernetting åstadkoms genom att man minskar subnet masken och "lånar" bitar av Nät-ID till ett nytt Dator-ID. Alltså tvärtemot vad man gör vid subnetting. Tekniken att göra detta kallas också för CIDR, Classless Inter-Domain Routing. För att detta skall vara möjligt att utnyttja i ett nätverk måste routrar stödja denna funktion. I exemplet ovan slår vi ihop de 8 klass C-näten till ett nytt större nät. Det nya nätet får samma Nät-ID som det första av de ursprungliga näten. Dator ID blir i exemplet ovan 11 bitar vilket ger 2048 IPadresser. Av dessa kan den första adressen 192.168.136.0 inte användas då denna betecknar nätets egen adress. Den sista adressen 192.168.143.255 kan heller inte användas eftersom denna blir Broadcast adress för alla datorer i nätet. Man bör heller inte använda de "gamla" nätens nät- och Broadcast adresser (alla nollor och alla ettor), dvs. 192.168.136.255; 192.168.137.0; 192.168.137.255 osv. Detta gör att vi får plats med högst 2032 datorer i detta nya nät. Supernetting av klass C-nät: Här visas en tabell för "Supernetting" av klass C-nät Det sista nätet i tabellen ovan med 8 lånade bitar blir ett klass B-nät. Kom också ihåg att CIDR måste stödjas av nätverksutrustningen (routrarna) och operativsystemet. TIPS FRÅN VERKLIGHETEN... Det finns inget som säger att man måste hålla sig till reglerna avseende klass A, klass B och klass C näten när man skapar sina egna privata nätverk. Bara för att man väljer ett nät med en IP-adress som egentligen tillhör klass B, t.ex. 172.18.0.0 så måste man inte ha subnet masken 255.255.0.0 utan man kan lika gärna välja subnet masken 255.255.255.0 som ju egentligen gäller för klass C nät. Det blir ju samma sak som att subnetta nätet och välja ut ett av subnäten. Det som är absolut viktigt är att man använder samma subnet mask för alla datorer i sitt nät. Och att deras IP-adresser ligger i samma subnät. De måste ju tillhöra samma subnät för att kunna kommunicera direkt. Om man så önskar så kan man lika gärna välja normala klass A-adresser (10.x.x.x) eller klass Badresser (172.16.x.x - 172.31.x.x) istället för klass C-adresser (192.168.x.x). Det viktiga är att man hela tiden använder rätt subnet mask och givetvis att man väljer någon av de IP-adresser som är reserverade för privata nät. Annars kanske man har otur och råkar välja adresser som även återfinns på internet och som pekar på någon hemsida. Då blir det IP konflikt och man kommer inte åt dessa adresser på internet. Hela klass A nätet 127.x.x.x är reserverat för teständamål. Man använder dessa adressen 127.0.0.1 som s.k. loopback adress för att testa ett nätverkskort. Man kan pinga denna adress för att kontrollera om nätverkskortet är riktigt installerat. Gör nu övningarna i Arbetsboken till kapitel 6 7. DHCP DHCP, Dynamic Host Configuration Protocol, är en påbyggnad av BOOTP-protokollet. DHCP leder och styr tilldelningen av TCP/IP konfigurerings information genom att automatiskt tilldela IP adresser till datorer som är konfigurerade att använda DHCP. Genom att använda DHCP minimerar man några av konfigureringsproblemen som en manuell konfigurering av TCP/IP medför. Det som man normalt måste ställa in i TCP/IP är: IP-adress, Subnet mask samt Default Gateway. Oftal behöver man också ange adressen till WINS-Server och DNS-Server. Allt detta samt lite till kan man automatiskt skicka ut via DHCP. Vid en uppstart av en klientdator så erhåller servern en fråga om en ledig adress finns, Servern tittar i sin adress pool om det finns en ledig adress samt erbjuder den lediga adressen till klienten. Att manuellt konfigurera IP-adresser på klientdatorer är inte att rekommendera. Det kan bli alldeles för många krockar och fel. Jag rekommenderar ALLTID att använda sig av DHCP om man har en Server eller Router som kan köra tjänsten DHCP i sitt nätverk. Då kan man konfigurera alla önskade IPinställningar på Servern/Routern. Upprätta en IP-plan En viktig åtgärd innan man sätter upp en DHCP-server är att upprätta en IP-plan för nätverket. I denna antecknar man vilka IP-adresser man använder i det lokala nätverket. Både de som är fasta och de som kommer att användas för utlåning via DHCP-servern. IP-planen kan med fördel skapas i t.ex. Excel. Strukturera gärna IP-planen så att alla fasta IP-adresser numreras från ett och uppåt, grupperade efter typ. T.ex. Routrar och Switchar mellan 1 och 10, Servrar mellan 11 och 20, Skrivare mellan 21 och 30, Övriga fasta adresser mellan 31 och 50 och IPadresser för utlåning via DHCP mellan 101 och 200. Exempel på IP-plan: Så här fungerar DHCP Kommunikationen med nätverket sker via UDP port nr 67 & 68. Varje nätverkskort får/har sin egen IP-adress samt övriga IP-inställningar. Dessa är nämligen inte knutna till datorn utan dess nätverkskort. Med två nätverkskort i en dator får var och en av dessa en egen IP-adress. De flesta DHCP meddelanden skickas via ett Broadcast, skulle kommunikationen ske via en router så måste routern stödja omadressering, forwarding. I det första två stegen så är det förfrågan av IP adress samt ett erbjudande från servern. IP Lease Request, IP hyres förfrågan. Den första gången en klient gör en förfrågan till en DHCP server gör klienten en broadcast till alla DHCP servers. Eftersom att klienten inte har någon egen IP adress så använder sig den av IP-adress 0.0.0.0 som källadress och IP nr 255.255.255.255 som destinationsadress. I själva förfrågan så skickas ett DHCPDISCOVER meddelande detta meddelande innehåller också MAC-adressen så att DHCP servern skall veta vilken klient som har skickat meddelandet. IP uthyrningen sätts igång när något av följande inträffar: • TCP/IP är initierat för första gången på DHCP klienten • När klienten begär en specifik adress och blir nekad den, förmodligen för att DHCP servern avvisade förfrågan. • När en klient har hyrt en adress men avsagt sig hyresrätten och vill hyra en ny adress. IP Request offer, hyreserbjudandet Alla DHCP servers som får en förfrågan och har en gällande konfigurering för klientens Broadcast kommer att erbjuda följande information till klienten: ● Klientens MAC adress ● En erbjuden IP adress ● Subnet mask ● Längden på hyrestiden En Server identifiering, IP adressen på den uthyrande DHCP Servern. ● Ett Broadcast används bara för att klienten inte ännu har fått en IP adress, då sänds ett DHCPOFFER meddelande till klienten. ● DHCP Servern reserverar IP adressen så att den inte blir erbjuden till en annan DHCP klient. DHCP klienten väljer en IP adress från den som först erbjuder en IP adress. Om ingen DHCP server finns tillgänglig. DHCP klienten väntar 1 sek för att erbjudande, om inte ett erbjudande fås så kan inte klienten initiera upp IP, då kommer ett nytt försök att genomföras. Detta upprepas 3 ggr efter 9 sekunder, 13 sekunder och 16 sekunders intervall. Dessutom ett varierande antal försök med mellanrum 0 - 1000 millisekunder. Om inte erbjudande erhålls så försöker klienten var 5:e minut. IP lease Selection Efter det att klienten erhållit ett erbjudande från minst en Server så broadcastar den till alla DHCP servers att ett erbjudande har accepterats. Broadcasten sänds i ett DHCPREQUSET meddelande. Det inkluderar DHCP Serverns IP adressen på den valda servern. Alla andra Servrar återtar sitt erbjudande så att deras IP adresser blir tillgängliga för andra klienter. IP lease Acknowledgement, bekräftelsen av IP adressen DHCP servern sänder ut ett Broadcast att den har accepterat en ny klient DHCPACK meddelande. Detta meddelande innehåller gällande information om IP lånet. När detta har utförts så är IP adressen bunden till klienten och servern. Nu kan klientdatorn börja använda TCP/IP. Förnyelse av lånet En IP adress lånas av DHCP Servern på en begränsad tid. Detta eftersom alla adresser efter en tid skulle bli upptagna även av datorer som inte längre finns med i nätverket. Man anger i DHCP-servern hur lång tid som lånen skall gälla. Klienter som lånar adresser av DHCP Servern försöker att få en ny leasingtid efter 50 % av tiden. Skulle inte en ny tid erhållas så frågar klienten igen efter 75 % av tiden och sedan igen efter 87,5 % av tiden. Skulle inte en ny adress erhållas då heller så kommer den att göra en förfrågan om det finns någon annan DHCP server på nätverket. Om det inte finns någon DHCP-server överhuvudtaget så kommer klienten inte längre ha en IPadress när 100 % av lånetiden har uppnåtts. Detta innebär att TCP/IP protokollet inte längre kan användas på klienten. Konfiguration av DHCP Servern Man kan konfigurera en mängd olika saker i DHCP Servern. Hur man gör detta i Windows Server 2022 kan du läsa i senare kapitel i denna bok. Ipconfig-kommandot Med kommandot IPCONFIG som körs i kommandotolken i Windows kan man visa IP-uppgifterna. Man kan också frigöra och förnya lån av IP-adresser. Ipconfig /all visar alla uppgifter om IP adressen och om lånet. Ipconfig /renew skickar en ny hyresförfrågan om en IP adress. Ipconfig /release frigör lånet av IP adressen från DHCP Servern. Mer om felsökning av TCP/IP kan du läsa i senare kapitel i denna bok Gör nu övningarna i Arbetsboken till kapitel 7 8. DNS DNS är en mycket viktig funktion i ett nätverk. Den har i princip två funktioner. 1. DNS svarar för namnuppslag för internettjänster, www-adresser, ftp-adresser, e-post m.m. DNS översätter alltså en adress (t.ex. en www-adress) mot den sökta serverns ip-adress. 2. DNS svarar för namnuppslag mot servrar, datorer och funktioner i det lokala nätverket. Det är DNS som gör så att t.ex. en klientdator kan hitta och logga in i en Windows-server. Utan DNS fungerar inte det lokala nätverket mellan servrar och klientdatorer. Vi skall i detta kapitel titta närmare få punkt 1. Längre fram i boken kommer vi att titta på den andra funktionen i Windows Server 2022. DNS på internet DNS, Domain Name System, är det distribuerade databassystemet som håller ordning på alla adresser till datorer anslutna till Internet eller det lokala nätverket. Det har några andra uppgifter också, men huvuduppgiften är att hålla reda på datorerna så att varje dator kan adresseras på ett unikt och användarvänligt sätt. DNS är uppbyggt så att ansvaret för adressering av datorer på olika nätverk kan delegeras, så att varje delområde kan hanteras av olika administratörer. Varje dator ansluten till ett TCP/IP-nätverk, Internet eller ditt lokala nätverk, har en IP-adress. För att slippa hålla koll på vilken IP-adress som de olika datorerna har så anger man även ett namn på datorn/enheten. Detta kallas för HOSTNAME, hostname. Alltså har datorn både en unik IP-adress och ett unikt namn. Med detta i åtanke konstruerades DNS, Domain Name System. DNS är ett system där man delegerar olika adressområden i zoner till företag, myndigheter och organisationer. DNS, Domain Name System, är ansvarig för konvertering mellan internet domän namn (URL, FQDN) och IP-adresser. I internets barndom, ARPANET, fanns inte DNS. Då hade man en enda fil där alla internets domäner och deras IP-adresser fanns registrerade. I takt med att internet växte blev detta omöjligt att administrera. Då började man att istället använda DNS. Vad är en domän? Ansvaret för att hålla reda på datorer (och vissa tjänster) i DNS delegeras i olika zoner. Man har byggt upp en hierarki där man i toppen har en organisation som heter IANA, som är nära kopplad till Internet Society, ISOC. IANA har huvudansvaret för DNS domäner och har skapat ett antal toppdomäner för att skapa en delegering. Domänerna skapades först i USA och tanken var då att man skulle dela in alla domäner efter typ av organisation - skola, företag, militär, organisation etcetera. Först senare kom man på att det förmodligen vore smartare att bygga på en geografisk uppdelning. Idag så använder man i USA de gamla domänerna, där några idag i hög grad blivit internationella (.com, .net, .org osv). Internationellt har skapats toppdomäner baserade på ISO:s landskoder - .se, .fi, .no, .ca etcetera. För varje toppdomän har utsetts en organisation, som kan administrera utdelning av zoner inom toppdomänen. Zonerna kallas domäner. Observera att det är stor skillnad på en internet-domän, domän som hanteras av DNS jämfört med Domän som man talar om i Windows. När man menar Domän i Windows så menar man ju det samlade nätverket på ett företag med Servrar, Klientdatorer, Skrivare etcetera som ju alla ingår i Domänen. När vi i detta kapitel talar om domäner så menar vi i stället internet-domäner. När ett företag tilldelats en domän kan man skapa ett flertal olika pekare. De vanligaste är datoradresser, tjänsteadresser och e-postadresser. - Datoradresser, eller hostname, pekare, är adresser som är direkt relaterade till utrustningar som anslutits till nätverket och fått en egen IP-adress. Domänsystemet håller reda på relationen mellan hostnameet och IP-adressen. - Tjänsteadresser, eller URL, Uniform Resource Locator, är adresser till olika typer av elektroniska tjänster, vanligtvis en webbserver och dess olika resurser. Hostnameet är ofta en del av tjänsteadressen. - E-postadresser är adresser som man kan adressera i Internet e-post. I adressen ingår domännamnet, inte hostnameet. DNS-tjänsten håller reda på vilken dator som är postkontor för varje domän. Företaget kan också delegera ansvaret och skapa underdomäner till företagets domän. Dotterbolag eller olika produkter, tjänster och personer kan få egna domäner inom företagets domän. Hur detta sker reglerar företaget självt. Domänen är basen för nästan all användbar adressering på Internet. Ibland används IP-adresser, men det är alltmer sällan. En server kan också byta IP-adress, till exempel då man byter Internetoperatör, vilket gör att domän-relaterad adressering är mer varaktig. All TCP/IP-kommunikation, sådan kommunikation som används över Internet, använder en speciell programvara för kommunikationen. Webbläsaren, terminalprogrammet, DNS-servern och allt annat som använder TCP/IP på en dator använder en gemensam programvara för kommunikationen, ofta kallad TCP/IP-stacken. I den programvaran finns funktioner för anrop av DNS-systemet, för att konvertera från ett hostname till en IP-adress eller tvärtom. Programmen använder dessa anrop när de ska upprätta en session. Användaren uppger ett hostname direkt i programmet eller i en konfigurationsfil (mailserver, webbserver, terminalserver, UNIX-system etc). Programmet byter ut hostnameet mot ett nummer och försöker upprätta kommunikation med rätt server. Programmen använder alltså IP-adresser för att upprätta kommunikation. Underdomäner På samma sätt som innehavarna av en toppdomän kan skapa domäner kan innehavaren av en domän skapa underdomäner. Underdomäner upprättas i företagets DNS-server. Innehavaren av domänen bestämmer själv regler för hur underdomäner skapas och vilka regler som gäller för dersa förvaltning och användning. Underdomänen ansluts till domänen med en punkt mellan domänen och underdomänen. Liksom för domäner och toppdomäner kan endast vissa tecken användas. Svenska tecken - å, ä och ö - kan inte användas i domännamn. Ett exempel är elever.Movant.org (elever är här en underdomän till Movant.org) Hostname Hostnameen tilldelas fritt. För publika tjänster används numera ofta namnet på en tjänst som hostname. Vanliga namn är www, ftp, mail och gw för gateway. För datorer som inte är värd för en publik tjänst används vad som helst, planeter, seriefigurer, litterära figurer, ölsorter eller något annat. Använd inte personnamn, för då är det svårare att hålla isär datornamn och e-postadresser. Hostname ansluts till domänen eller underdomänen med en punkt. Varje nod måste ha en IP-adress. En dator med en IP-adress kan ha flera hostname, alla utom ett är då alias. Ett namn är huvudnamn. Exempel: Om domänen heter Movant.org, kan hostnamnen se ut på följande sätt: www.Movant.org yoda.Movant.org internet-gw.Movant.org E-post E-postadresser skapas inom domän eller underdomän och har ingen koppling till hostname. För varje domän registreras en hänvisning till postkontor i DNS-databasen. Detta kallas med tekniska termer en MX-record. E-postadressen består av två delar - en mottagaradress och en domän. De separeras med en alfaslang, "@". Det som står efter alfaslangen måste vara en domän registrerad i Internets DNS. Det som står i mottagar-fältet hanteras av postkontoret, inte av DNS. Postprogrammet läser alltså texten efter alfaslangen och tar via DNS reda på vart brev ska levereras. Därefter levereras brevet till domänens postkontor, som får ta hand om mottagaradressen. Mottagaradressen kan gå till personer eller olika tjänster, som mailinglistor eller funktionsadresser. Den som äger en domän kan med hjälp av DNS-servern skapa underdomäner och ordna upp adressering till olika enheter. E-postadresser skapas i e-postkontoret, dvs mailserverprogramvaran på någon dator ansluten till nätverket. DNS-databasen refererar från domänen till ansvarigt epostkontor. Om en Internet-operatör ordnat med e-post till egen adress i egen domän åt ditt företag, så använder du två servertjänster hos operatören, DNStjänst och e-postkontor för din domän Exempel: Karl.Moller@Movant.se kalle.kula@elever.Movant.org (där elever är en underdomän till Movant.org) support@Movant.org Tjänsteadresser, URL URL-adresser fungerar på ungefär samma sätt. Vanligaste URL-adressen är en webbadress, till exempel: http://www.Movant.org/katalog/dokument.html Mallen för en URL är förenklat: protokoll://server/söksträng Med en domän kan man skapa ett hostname för en dator i företagets domän. Det innebär inte att man skapat en webbserver eller någon annan server. Datorn, vars IP-adress man anger, måste ha rätt programvaror för tjänsten. En webbläsare som får en URL avgör först vilket protokoll som ska användas. Det står först i URL-adressen. Därefter slår programmet upp adressen till servern som anges därefter. Det görs med hjälp av DNS. Först därefter kontaktas servern med rätt protokoll och angiven söksträng. Exempel: http://www.Movant.org http://www.Movant.org/personal https://securewww.Movant.org/very/secret/document.html OBS! Med den enorma uppmärksamhet som webben och Internet fått är det inte underligt att man snabbt givit hostname och domännamn en enorm betydelse. Det är viktigt att man skiljer på dessa och inte glömmer en fullständig adressering. Adressen www.Movant.org är ett hostname, inte adressen till en tjänst. Noden stödjer kanske flera olika protokoll, vanlig web, säker web, ftpfilöverföring och mycket annat. Om man avser något annat än vanlig webb, måste man alltså ange fullständig URL, inklusive protokollet. För att göra det enkelt för användaren accepterar webbläsare ett hostname i stället för en URL och testar protokollet http till den angivna datorn. DNS-Databasen DNS innehåller en rad olika uppgifter. Först anges en administratör, en person som kan nås via epost om man behöver få kontakt med ansvariga för en domän. I databasen kan en rad olika uppgifter registreras. • • • • • Hostname och tillhörande IP-adress IP-adress och tillhörande hostname. Underdomäner och tillhörande namnservrar Adressen till domäns postkontor Säkerhetsuppgifter (certifikat) En DNS-server kan hantera flera domäner och underdomäner till dessa. En domän finns alltid registrerad i toppdomänens domänserver. Denna finns registrerad i de femton centrala domänservrarna som håller reda på Internets toppdomänservrar. När ett program frågar efter en uppgift följer man kedjan från en central server, till toppdomänserver och företagets domänserver. I toppdomänens server finns endast uppgift om att domänen existerar och vilka namnservrar som ansvarar för domänen. Backup för DNS servern DNS har stöd för en backup-server, utifall att den ansvariga servern skulle upphöra att fungera. En sådan server kallas sekundär namnserver. Uppgift om denna registreras i toppdomänens namnserver. Backupservern kopierar med jämna mellanrum alla uppgifter om en domän från den primära namnservern. Detta kallas DNS zone-transfer. Det är viktigt att alla domäner har en backup-server för DNS. För säkerhets skull är det bra om den står ansluten på annan operatörs nätverk, så att man inte bara har backup om datorn skulle sluta fungera, utan också om nätverksförbindelsen skulle avbrytas. Toppdomänservern för .se har flera backup-servrar. För toppen, den som kallas "punkt" finns tiotalet servrar på olika ställen i världen, däribland en i Sverige. Toppdomänerna .nu, .com, net och .org har backup-servrar i Sverige som drivs av NIC-SE AB. Sammanfattning av DNS Som ni nu förstått är DNS serverns uppgift är bland annat, att översätta datornamn till IP adresser eller IP adresser till namn. Klienterna refereras som "resolvers" och servrarna kallas för "name servers". DNS servrar innehåller adressinformation om datorer, utför sökningar eller hänvisar till andra DNS servrar (forwarders). Data i en DNS-server lagras i så kallade zoner som på en Windows DNS-server kan vara av följande typer: • • • • Standard primary (Primär) Standard secondary (Backup) Reverse (omvänd IP → namn) Active-Directory integrated (Windows-specifik, kräver AD) Informationen i zonerna registreras som resursposter (resource records). De viktigaste resursposterna är: • • Start of Authority (SOA) identifierar vilken DNS server som har auktoriteten över en DNSdomän Host (A) (samma som en hostname) • • • • • • Alias (CNAME) Host Information (HINFO) Mail Exchanger (MX) Name Server (NS) Pointer (PTR) används vid omvända sökningar, IP-adress till namn Service (SRV) tjänster Exempel på DNS-information I serverdatorer som använder operativsystemet UNIX brukar DNS-informationen lagras i zon-filer. Nedan ses ett exempel på en sådan: Följande information finns i zon-filen: SOA står för Start Of Authority och talar om vem som är ansvarig för domänen, dvs. den innehåller information om vilken dator som är primär namnserver för domänen, vem som administrerar denna dator, hur aktuella uppgifter är osv. Informationen under SOA innehåller detta: Namn IN SOA XXXX XXXX XXXX XXXX XXXX namnserver. e-postadress. ( ; Serienummer ; Uppdatering ; Nytt försök ; Upphöra ; TTL (Time To Live) ) Namnserver Adressen till den primära namnservern e-postadress e-postadress till person som är administrativt ansvarig för domänen Serienummer Ett löpande serienummer som räknas upp ett steg varje gång informationen i zonfilen ändras. Med hjälp av denna information kan andra DNS-servrar hålla reda på om de har den senaste informationen från zon-filen. Serienumret börjar ofta med datum och därefter ett tal. Därefter följer fyra rader med siffervärden. Dessa anger antal sekunder för fyra olika tidsvärden: Uppdatering Anger hur ofta som sekundära namnservrar skall kontrollera mot den primära namnservern om några ändringar skett. Kontrollen görs genom att jämföra serienumren. Nytt försök Anger hur lång tid som en sekundär namnserver skall vänta innan nytt försök görs att kontakta den primära namnservern om ett försök misslyckas. Upphöra Anger hur länge en sekundär namnserver skall fortsätta arbeta och svara på DNSförfrågningar om den inte lyckas uppdatera sig mot en primär namnserver. TTL Time-to-live. Anger hur länge som informationen från namnservern får cachelagras på olika servrar och datorer på internet. Alltså hur länge som informationen får vara giltig innan ett nytt anrop mot namnservern måste göras. Informationen brukar cachelagras på en lokal DNS-server där en klientdator gjort ett anrop mot den aktuella domänen. T.ex. när någon användare öppnat en webbsida eller skickat ett mail till någon adress i domänen. Efter detta följer de olika resursposterna för zonen. Det kan t.ex. vara NS, MX, A och CNAME. Tips från verkligheten... TTL-värdet är en viktig parameter som man ibland måste ändra. Det gäller t.ex. när man skall flytta er domän till en annan server eller byta IP-adress på en webbserver, DNS-server eller annan tjänsteserver för internet. Då gör man denna ändring i tre steg: Ställ ner TTL-tiden till ett mycket mindre värde, t.ex. 600 sek = 10 minuter. Öka serienumret. Vänta minst så länge som det gamla TTL-värdet angav. T.ex. 1 dygn. Efter denna tid så har all eventuellt cachelagrad information uppdaterats med den nya kortare TTL-tiden. Nu kan du byta IP-adress eller flytta zon-filen eller vad det var du skulle göra. Glöm inte att öka serienumret. Ställ tillbaka TTL-värdet till det ursprungliga. Ovanstående innebär att DNS-informationen som är distribuerad ute på internet maximalt är felaktig i 10 minuter. Domänen kan alltså under denna tid vara onåbar i det fall informationen cachelagrats på någon server. Om man inte ställer ner TTL-tiden och väntar innan flytten görs så kan domänen vara onåbar i upp till ett dygn i vårt exempel. Man kan då fråga sig varför man inte alltid har en mycket kort TTL-tid. Svaret är att det då skulle bli väldigt mycket trafik till DNS-servrarna med namnförfrågningar. Genom att cachelagra informationen på de lokala servrarna så kommer namnservrarna inte att belastas så hårt. Namnuppslaget från den lokala användaren går då också mycket fortare när informationen finns lagrad lokalt och ett nytt namnuppslag inte behöver göras. Nackdelen med för lång TTL tid är att en flytt eller byte av IP-adress tar längre tid att genomföra. Om man t.ex. får ett datorhaveri som gör att man är tvungen att byta server eller IP-adress så kan det ta lång tid innan alla på internet kommer åt den nya informationen. Man får alltså hitta en bra balans mellan prestanda, sårbarhet och lätthanterlighet. Hur DNS konfigureras i Windows Server 2022 återkommer vi till i senare kapitel av boken. Vi kommer även att ta mer om DNS i boken Nätverkssäkerhet. T.ex. DNSSEC. DNS:ens arbetssätt och komponenter DNS har tre huvudsakliga komponenter. • • • Sändare (klient) Namnserver Domännamn Översiktligt fungerar DNS så att en sändare, (klientdator), skickar en förfrågan angående en eftersökt domän till en Namnserver. Om Namnservern hittar denna i sitt register så returnerar den IPadressen. Om den inte finns i registret så pekar DNS:en till en annan Namnserver. Om den inte har någon annan Namnserver att peka på så skickas istället ett felmeddelande. Sändarana (Resolvers) Sändarnas funktion är att skicka namn förfrågningar mellan applikationer och namn servers. Namnförfrågan innehåller en fråga om vilken IP-adress ett visst domännamn har. T.ex. en förfrågan om IP-adressen till www.microsoft.com. Namnserver (Name Server) Namnservern får namnförfrågningarna från sändaren. Den löser namnförfrågan, domännamn till IPadress. Om Namnservern inte är tillgänglig för att lösa uppgiften så skickas förfrågan vidare till en annan Namnserver som kanske kan lösa uppgiften. Namnservrarna är grupperade i en Domänstruktur. Domain Name Space Domänerna är uppdelade i hierarkisk grupp av namn indelade i en trädstruktur som visas nedan: De tre delarna kallas för: • • • Root level Domain Top level Domain Second level Domain Root Level Domians Root Level Domains definierar olika nivåer av rättigheter i den hierarkiska strukturen, Toppen av hierarkin kallas för Root-domain. Top Level Domains Följande adresser är exempel på top level adresser: .com Kommersiella .edu Utbildningsanordnare .org Icke kommersiella organisationer .net Nätverk .gov Icke militära statliga organisationer .mil Militära organisationer .arpa Reverse DNS Dessutom finns Top level Domians för de flesta länder, ex .se .dk .uk osv. Top Level domäner kan innehålla Second-level domains och hostar. Rotservrar På internet finns 13 olika Rotservrar. Dessa är placerade på olika platser runt om i världen, de flesta i USA. Några av dem är distribuerade på flera kopior varav en finns i Stockholm. Rotservrarna har namnen a.root-servers.net, b.root-servers.net ... m.root-servers.net De 13 Rotservrarna innehåller alla samma information vilken replikeras mellan dem. Dessa är namnservrar för toppdomänerna på internet, .com, .org, .edu osv. Dessutom är de namnservrar för alla landsspecifika toppdomäner som .se. Dock inte för domänerna under dessa. Om en klientdator begär en namnupplösning på en webbadress från en av rotservrarna så ger den inte IP-adressen till denna webbserver utan slussar klienten vidare till den server som ansvarar för den efterfrågade toppdomänen. Rotservrarna är vad man kan kalla spindlar i nätet för hela internet. Skulle dessa slås ut så skulle inget på internet fungera längre. Den som är intresserad kan läsa mer på www.root-servers.org. Här finns även en aktuell karta som visar placeringen samt deras IP-adresser. Second Level Domains Second Level domäner kan innehålla både hostar och andra domäner. Dessa kallas för subdomains. Exempel är tv4.se, aftonbladet.se, microsoft.com. Hostnamn Hostnamn inne i en domän läggs till i början av domän namnet, dessa namn är oftast relaterade till deras FQDN, Fully Qualified Domain Name. Exempel på detta är nyheterna.tv4.se eller p3.sr.se Namnserverrollen DNS servrar kan konfigureras till att ha olika roller. DNS:en kan lagra och underhålla databasen med namn på flera olika sätt. Var och en av de olika rollerna beskriver olika sätt hur DNS:en kan konfigureras för att lagra sin zon`s data. Primär namnserver Den primära namnservern innehåller zon-data från lokala filer som finns lagrade på den Primära namnservern. Alla ändringar i zonen som t.ex. tillägg av en domän eller host, görs på den primära namnservern. Sekundär namnserver Den sekundära namnservern innehåller kopierad data för sin zon från andra namnservrar. Den sekundära namnservern får sin zons information över nätverket genom zone-transfer. Det finns tre anledningar till att ha sekundära DNS:er 1. Driftsäkerhet: Man behöver minst en primär och en sekundär namnserver för varje zon. Datorerna skall vara så oberoende som möjligt. 2. Snabbare access: Om man har ett nätverk uppdelat i olika WAN så kan man få snabbare access genom att ha en sekundär DNS i varje WAN. Då slipper man en massa DNS förfrågningar över den kanske långsamma WAN-länken. 3. Mindre belastning på den primära Namnservern: Den sekundära Namnservern tar hand om en del av trafiken. Informationen från varje zon är lagrad i olika filer. Det innebär att en DNS som är en Primär Namnserver en zon kan vara en sekundär i andra zoner. Master Name Servers När man definierar en zon på en namnserver som en sekundär zon så måste man avdela en annan namnserver varifrån man får in zonens information. Källan i zonens information, för en sekundär Namnserver i en DNS hierarki, är en Master Name Server. En Master Name Server kan vara antingen primär eller en sekundär Namnserver för den zonen. När en sekundär Namnserver startar upp så kontaktar den Master Name Servern och initierar en zon överföring med den servern. Caching only servers Dessa servrar innehåller ingen lokal data. Den innehåller bara den information som erhållits när den fått information via andra förfrågningar. Det kan vara bra att veta ett en server som är Caching är tom från starten och samlar på sig info under resans gång. Detta kan slöa upp nätet en del i början. Namnförfrågningar Det finns tre stycken förfrågningar en klient kan göra mot en DNS Server Rekursiv förfrågan, Interaktiv förfrågan, Inverterad förfrågan Rekursiv förfrågan Denna typ av förfrågan går bara mot den lokala DNS-en och stannar där. Sen förväntar sig frågan att DNS:en sköter resten så att klienten får namnupplösningen fixad. Interaktiv förfrågan I en interaktiv förfrågan så försöker servern ge det bästa svaret som den kan ge till den som frågar. Detta svar kan vara en adress eller en hänvisning till en annan server som kan lösa frågan åt klienten. Nedan visas ett exempel på hur det kan det gå till: 1. Klienten frågar efter www.bigcompany.com Frågan skickas till den lokala DNS:en. I detta exempel fanns inte adressen i den lokala listan. 2. Eftersom den lokala DNS:en inte hade denna information i sin zon så sänds förfrågan efter bigcopmany.com med en s.k. interaktiv förfrågan till Root-namnservern. 3. Root namnservern har rättigheter till root domänen så den sänder över IP adressen till namnservern för toppdomänen. (I vårt fall .com). Denna sänds till vår lokala DNS-server. 4. Den lokala DNS:en skickar en interaktiv förfrågan om www.bigcompany.com till den namnserver som vi tidigare fick IP-adressen till. (.com). 5. .com :s namnserver svarar med IP-adressen till den Namnserver som ansvarar för bigcompany.com 6. Min DNS skickar en interaktiv förfrågan till den bigcompanys namnserver efter IP-adressen till www.bigcompany.com. 7. Bigcompanys namnserver svarar med IP-adressen för www.bigcompany.com 8. Den lokala DNS skickar tillbaka vår förfrågan till klientdatorn som nu kan surfa in på www.bigcompany.com Inverterad förfrågan I en Inverterad förfrågan, Reverse lookup, så händer samma sak som ovan men då frågar man istället efter vem som har en viss IP-adress. NS Lookup Med hjälp av felsökningskommandot Nslookup kan man utföra ett namnuppslag för en IP-adress, en tjänst eller ett domännamn. Kommandot körs i kommandotolken som öppnas i ett eget fönster. Man startar kommandotolken med Start - Kör- CMD. Kommandot skrivs sedan i kommandotolken enligt nedan: Nslookup <IP-adress> eller Nslookup <domännamn> Nedan görs uppslag mot aftonbladet.se och www.aftonbladet.se. Det första kommandot ger IPadressen till DNS-servern som hanterar domänen aftonbladet.se. Det andra ger IP-adressen till webbservern för www.aftonbladet.se. Man kan även köra kommandot Nslookup utan någon specifikation för att komma in i ett terminalläge där man vid prompten kan göra sina namnuppslag utan att behöva skriva kommandot före. Avsluta detta med Ctrl+C Längre fram i boken kommer vi gå igenom hur man konfigurerar DNS i Windows Server 2022. Gör nu övningarna i Arbetsboken till kapitel 8 9. ROUTINGPROCESSEN Vid kommunikation mellan datorer måste de känna till var och hur de skall skicka paketen, om de datorer som skall kommunicera ligger på samma IP-nät är det ju inget problem. Men är det så att datorerna som skall prata med varandra måste använda sig av Routing för att få fram information blir det lite mer att ta hänsyn till nämligen routinglistor/tabeller och Default Gateway. Det som är avgörande för en dator som skall kommunicera är konfigurationen av dess IP-adress, subnetmask och Gateway adress. För både den sändande datorn, hosten, och Routern så måste ett beslut fattas, och det är till vilken router paketet skall skickas. Detta görs med hjälp av Routingtabellen som är lagrad i Routerns minne, den innehåller IP-adresser som Routern kan kommunicera med. 1. När en host försöker kommunicera med en annan host, kontrolleras först om det är ett paket som skall till en adress på det lokala nätet eller till ett externt nät. 2. Om paketet är till en lokal adress så skickas det dit. Om det är till en extern adress så skickas det till den angivna Default gateway (Routern). 3. Routern kontrollerar nu om destinationen återfinns i Routingtabellen av för att se om det finns en väg (route) till denna remote host. 4. Om ingen väg (route) hittas i Routerns Routingtabell så skickas istället paketet till Routerns Default Gateway, som då är en annan Router. 5. Nu upprepas steg 3 och 4 av den nya Routern till dess att paketet nått till mottagaren. Varje gång en route hittar sin väg och paketet är skickat till sin nästa router, så kallas detta för ett hopp "hop, (Metric)", sen levereras paketet till sin destination. Om det inte lyckas skickas ett felmeddelande till källhosten. Man har alltid ett maximalt tillåtet antal routerhopp. När detta uppnåtts så skickas paketet inte vidare längre utan raderas i den sista routern. Anledningen till detta är att annars så skulle ett paket kunna skickas runt på internet i all evighet om mottagaren inte kunde hittas. Internet skulle bli fullt av "hemlösa" paket som skickades runt. Det maximalt tillåtna antalet routerhopp styrs av det s.k. TTL-värdet. TTL står för Time-To-Live. Det är ett 8-bitars tal som finns med i IP-paketet. Vid varje routerhopp så minskas detta tal med ett. När det är noll raderas paketet. Inget felmeddelande skickas tillbaka. Ett användbart kommando för att kontrollera hur många routerhopp man har till en viss internetadress är TRACERT. Vid kommandoprompten kan man t.ex. skriva: C:> tracert www.Movant.org Då får man se genom vilka routrar som kommunikationen måste gå för att nå webbsidan www.Movant.org. Statisk Routing Med Statisk Routing så måste Routing tabellerna konfigureras manuellt. Routern kan endast routa mellan kända adresser som angivets i Routingtabellen. Förklaringar till ovanstående bild. Routingtabellen i Router 1 skall innehålla information hur datorer på Nät 192.168.0.0 skall kunna nå mottagare på 192.168.2.0. De måste då gå via adressen 172.16.11.77 som ju är Gatewayen ut från nätet 172.16.11.0 mot 192.168.2.0, (Router 2). Routingtabellen i Router 2 skall innehålla information hur datorer på Nät 192.168.2.0 skall kunna nå mottagare på 192.168.0.0. De måste då gå via adressen 172.16.11.56 som ju är Gatewayen ut från nätet 172.16.11.0 mot 192.168.0.0, (Router 1). Man kan dessutom ange hur datorer på nätet 192.168.0.0 kan nå 172.16.11.0. De kan de genom att gå via sin egen lokala Default Gateway, 192.168.0.1. Detta är dock inte nödvändigt att ange för det fattar routern av sig själv eftersom den ju vet sina egna IP-adresser. Man behöver inte ange att en Router skall routa mellan sina egna båda IP-adresser. Att bygga en Routingtabell Man lägger till information till Routingtabellen med kommandot route, körs i cmd dvs. kommandotolken i Windows. Om man kör route print så skrivs tabellen ut. En statiskt Routingtabell innehåller följande komponenter. Network adress: En IP adress som visar destinations nätverket Subnet masken: En Subnet mask för nätverksadressen Gateway adress: En IP-adress som anger vilken hostadress som länkas upp i Routingtabellen. Standard Routingtabell Om man inte har angett några tillägg i sin Routingtabell så ser den ut så här om man tittar på datorn med adressen 192.168.0.31 Kommandot Route print ger då detta resultat: Om man vill ange i Routingtabellen att datorer i nätet 192.168.0.0 skall gå via routern på adress 172.16.11.77 för att komma till nätet 192.168.2.0 så skall man skriva: C:> route add 192.168.2.0 mask 255.255.255.0 172.16.11.77 Man måste alltså ange subnet masken för att Routern skall veta hur många hostadresser som nätet har, dvs. vilka som tillhör nätet och vilka som inte gör det. Om man har subnettat sitt nät så får man ju en annan subnet mask, t.ex. 255.255.255.224. Kommandot Route print på datorn med adressen 192.168.0.31 ger då detta resultat: (Det nya tillägget ses med fet stil). Dynamisk IP-Routing Med dynamisk routing routar man upp paket mellan olika kända nätverk. Detta görs genom att Routingtabellen automatisk uppdateras, samtidigt ser routern till att uppdatera resten av de routers som finns på nätverket om förändring i tabellerna sker. Man kan med fördel använda sig av dynamisk routing i stora nätverk, det förenklar administrationen en hel del. För att dynamisk routing skall kunna användas måste protokollet RIP, Routing Information Protokoll, samt OSPF, Open Short Path First, vara installerade. För att värdar/hostar skall kunna kommunicera med varandra i nätet så måste den "Default Gateway adressen" matcha IP adressen på den lokala routern's interface. Ingen annan konfigurering behövs. För att dynamisk routing skall fungera så måste routern stödja OSPF. En viktig egenskap hos en Router är att den om det finns flera vägar att välja på så tar den alltid den bästa vägen. Man delar in protokollen i två typer, utifrån hur de väljer sin bästa väg. Den enklaste typen är avståndsbaserade distans-vektor. Den andra är en mer avancerad variant det är en länkbaserad linkstate. De avståndsbaserade protokollen räknar det antal hopp som utförs = det antal routrar som passeras innan träff uppnås. Bästa vägen räknas ut genom att räkna ut de antal som är minst till destinations hosten. Den länkbaserade tar även hänsyn till bandbredd eller pålitlighet i överföringen detta protokoll anpassar sig också fortare till förändringar som sker på nätet, t.ex. att en Router slutat fungera. RIP Protokollet RIP, Routing Information Protocol, ser till att Routing-informationen kommer fram på ett IP nät. Alla meddelanden sänds över UDP porten 520. Protokollet kan inte använda sig av datavägar som är mer än 15 hopp. RIP använder sig av hopp antalet för att bedöma vilken väg som är den bästa, eftersom att det är ett avståndsbaserat protokoll. RIP väljer alltid det alternativ med det minsta antalet hopp för att leverera sitt paket. En RIP router som mottar ett RIP Broadcast och som inte skickar inte ut ett RIP meddelande till de andra kallas för en Silent RIP Router. Detta protokoll är i första hand till för små nätverk i homogena nätverk med begränsad storlek. Gör nu övningarna i Arbetsboken till kapitel 9 DEL 2-DATORNÄTVERKET I PRAKTIKEN I denna del skall vi beröra följande punkter i kursplanen: • Uppbyggnad av nätverks olika delar samt funktion av bandbredd, till exempel mätning av kapacitet och kapacitetsbehov för olika bredbandslösningar. • Virtuella nät, dvs. virtual local area network (VLAN). Skydd mot avlyssning mellan olika nätverk. • Tunnling samt wireless local area network (WLAN). • Övervakning av nätverkstrafik och klienter samt hantering och övervakning med simple network management protocol (SNMP). • Skydd av servrar och klienter i nätverksmiljö med hjälp av mjukvara och hårdvara. • Kryptering av kommunikation mellan nät och servrar. 10. UPPBYGGNAD AV LOKALA NÄTVERK I detta kapitel skall vi gå igenom hur ett datorsystem med nätverk är uppbyggt och vad som behövs för att det skall fungera. Vissa delar av innehållet i detta kapitel och de närmast kommande finns även med i några av våra andra läroböcker inom Dator- och Kommunikationsteknik. Det kan därför hända att du redan läst detta. Då kan du se detta som repetition. Datornätverket Ett datornätverk består oftast av flera olika komponenter. Nätverket kan vara dessutom vara kopplat via kabel och/eller trådlöst. Här är några av komponenterna som kan finnas på nätverket: Serverdator Serverdatorn är bland de viktigare delarna i ett nätverk. Särskilt på företag och institutioner. På serverdatorn sparas all data för att på så sätt bli åtkomlig över hela nätverket. På servern finns också programvara som övervakar nätverket och autentiserar användare och lösenord. Router Routern ansluter det lokala nätverket till internet. Den brukar också ta hand om att dela ut IP-adresser. Switch I Switchen sammankopplar man alla kablar till de olika enheterna i nätverket. Accesspunkt WLAN Accesspunkten används i det trådlösa nätverket. Kommunikation mellan enheter i ett nätverk Kommunikation mellan datorer och andra enheter i ett nätverk kan gå via kabel eller trådlöst. Oavsett vilket så används samma grundläggande typ av överföringsteknik och protokoll. Den överföringsteknik som är absolut vanligast heter Ethernet och den reglerar bland annat hur datapaketen som skickas mellan enheterna på nätverket ser ut samt hur dessa adresseras. Datapaket för Ethernet. Själva datan är max 1500 bytes i varje paket. Varje paket innehåller både sändar- och mottagaradress. Varje enhet som ansluts till ett Ethernet-nätverk (via kabel eller trådlöst) har en egen unik adress, den s.k. MAC-adressen, vilket betyder Media Access Control. Det skall inte finnas två enheter i hela världen med samma MAC-adress. Det säkerställs genom att varje tillverkare har unika adresser som de kan använda. När man visar egenskaperna för en nätverksanslutning så kallas MAC-adressen för Fysisk adress. I kabelbundna nätverk med Ethernet kopplas enheterna oftast ihop med partvinnad kabel, s.k. TPkabel. Vanligast är UTP, Unshielded Twisted Pair. Kablarna kopplas till en Switch eller Hub som förstärker skickar ut signalerna till övriga enheter. I trådlösa nätverk svarar Accesspunkten för den kommunikationen till de trådlösa enheterna. Protokollet anger regler för hur kommunikationen mellan enheterna skall gå till. Till exempel om den mottagande enheten måste bekräfta när han tagit emot ett meddelande eller om kommunikationen skall fortsättas sändas ut oavsett. Det vanligaste protokollet som används är TCP/IP. Även i protokollet finns en adressering, den s.k. IP-adressen. Nätverkskablar I lokala nätverk använder man väldigt ofta partvinnade kablar. Oskärmade, UTP (Unshielded Twisted Pair), eller skärmade, STP (Shielded Twisted Pair). Dessa kablar indelas i kategorier efter vad de klarar för kommunikationshastigheter. Maximal kabellängd för varje enskild kabel mot hubben är 100m. UTP eller STP kategori 5 UTP eller STP kategori 5e max 100Mbit/s max 1000Mbit/s Kablarna UTP och STP är 8-ledare. Man använder oftast endast 2 ledarpar, totalt 4 ledare. När man kontakterar kabeln gäller det att hålla reda på vilka ledare som är tvinnade runt varandra. Oftast är dessa kodade i samma färg, t.ex. brun - brun/vit; grön - grön/vit ; blå - blå/vit och orange orange/vit. Se också nedan under kontakttyper. De partvinnade kablarna används i nätverk med 10 Mbit, 100 Mbit eller 1 Gbit. Man ansluter då alla datorer med dessa kablar mot en hubb (eller Switch). Man kan också koppla ihop flera hubbar eller switchar med dessa kablar. Som kontakt används alltid RJ-45 kontakten. Observera att ledarna inte kopplas in i nummerföljd utan i ordningen 1-2-3-6-5-4-7-8 eftersom RX+ skall tvinnas mot RX- och TX+ mot TX-. Skälet till att man gjort så här är att man av de fyra ledarna i mitten skall kunna koppla in en telefonförbindelse, vilken kräver partivinning mellan stift 3-6 och 5-4. Nätverksutrustning Switch En switch är mer intelligent än en HUB. Den används dock i huvudsak till samma ändamål. Skillnaden är att switchen undersöker de kommunicerande datorernas MAC-adresser och öppnar endast upp förbindelse mellan de två datorer som skall kommunicera med varandra. Detta minskar drastiskt trafiken på nätverket eftersom de datorer som inte kommunicerar inte störs av någonting på nätverket. I en switch kan dessutom flera förbindelser mellan olika portar öppnas samtidigt vilket gör att flera datorer kan kommunicera med varandra samtidigt. Switchar är idag mycket mer vanliga än hubbar. Många routrar och brandväggar har även inbyggd switch. Switchen arbetar i OSI-modellens datalänkskikt, skikt 2. Switchdatabas De datorer, servrar och andra enheter man kopplar in i switchen identifieras tack vare sin unika MAC-adress. Denna skickas ju alltid med i Ethernet-paketet och tillhör skikt 2, Datalänkskiktet. När switchen erhåller paket på någon port så identifierar den vilken MAC-adress som avsändaren av paketet har. MAC-adressen läggs in i en databas, switch databasen. Fortsättningsvis så vet nu switchen till vilken port som paket adresserade till denna MAC-adress skall skickas. Om switchen erhåller att paket adresserat till en mottagare vars MAC-adress ännu inte har identifierats så skickas detta till samtliga portar. Efter en stund när switchen varit i gång ett tag så har den dock lärt sig till vilka portar alla datorer i nätverket är kopplade och då fungerar den optimalt. Till en och samma port kan flera MAC-adresser kopplas i switch databasen. Detta behövs om man i en switch kopplar in en annan switch eller en hub. Då måste ju alla MAC-adresser som är kopplade till porten kunna sparas. VLAN Det finns också switchar som kan delas upp i s.k. VLAN, Virtuella LAN. Detta innebär att några av portarna i switchen kopplas samman och isoleras från de andra portarna. Dessa kan då användas då man önskar flera, från varandra oberoende nätverk utan kontakt med varandra. Belastningen på nätverket minskar då eftersom trafiken inom ett VLAN stannar där utan att påverka andra portar och andra VLAN i switchen. Man erhåller också högre säkerhet då man enkelt kan hindra åtkomst till servrar och viktiga resurser på nätverket genom att placera dessa i andra VLAN. Man kan även låta någon eller några portar i switchen ingå i flera VLAN. Då kan flera VLAN ha åtkomst till en server eller till en internetförbindelse utan att de har tillgång till varandra. Du Ikan läsa mer om VLAN i nästa kapitel. Accesspunkt En Accesspunkt är grundstenen i ett trådlöst nätverk. Den ansluts till det trådbundna nätverket. Det är accesspunkten som skapar det trådlösa nätverket och det är genom denna som all kommunikation går. Även Accesspunkten arbetar i Datalänkskitet. Läs mer om Accesspunkter i eget avsnitt längre fram i boken. Router Routern används oftast för att koppla ihop två skilda nätverk. Antingen placerade nära varandra eller på långa avstånd från varandra. Router används oftast också när ett nätverk skall anslutas mot internet. Routerns styrka är att den kan begränsa och stoppa oönskad trafik att passera. Routern läser av det transporterande blockets IP-adresser och vidarebefordrar sedan blocket till rätt mottagare. En Router har sitt verksamhetsområde i nätverksskiktet i OSI-modellen, skikt 3. Man använder oftast Routern för att ansluta ett lokalt nätverk mot internet. Man kan även använda routern för att koppla ihop flera olika nätverk via internet eller en fast linje. När man kopplar ihop nätverk via internet så sker detta med s.k. VPN-teknik, Virtual Private Network, vilket innebär att kommunikationen krypteras för att inte kunna avlyssnas. Routrar använder sig av tabeller, Routingtabeller, för att avgöra om ett paket skall transporteras genom routern eller stanna på insidan av den. En Router kan vara en egen liten box, ungefär så stor som en hub, men det kan också vara en persondator som är konfigurerad för att fungera som en Router. T.ex. kan man skapa en router för IP av en Windows Server genom att utrusta den med två nätverkskort installera RIP- protokollet. 3G/4G Router Det finns även Routrar som används för att ansluta till ett mobilt 3G- eller 4G-nätverk och därigenom få internetaccess till sitt lokala nätverk. PRAKTISKT EXEMPEL - KONFIGURATION AV ROUTER Låt oss ta ett praktiskt exempel på konfiguration av en Router. Vi väljer en Router från Cisco som är av de ledande tillverkarna av nätverksutrustningar. Vi väljer i detta exempel en av deras enklare modeller, RVS4000. Vi använder webbläsaren för att administrera routern. Vi surfar in till dess IP-adress och får då följande bild som innehåller översiktlig information. I vänsterkanten hittar vi menyn som är uppdelad i olika grupper. När vi skall konfigurera nätverksinställningar med IP-adresser, routerinställningar mm så gör vi det under Setup. Under WAN ställer vi in vilken anslutningstyp vi har mot internet. Uppgift om detta får vi från vår Man kan bl.a. välja om man skall ha fast IP-adress eller dynamisk via DHCP. Under LAN ställer man in vilken IP-adress man vill ha på insidan, mot det lokala nätverket. Här kan man också konfigurera routern att fungera som en DHCP-server mot det interna nätverket och dela ut IP-adresser. Under Advanced Routing kan man konfigurera själva Routingfunktionen. Man kan konfigurera den som en Gateway mot internet eller som en renodlad Router. Man kan koppla på Dynamisk Routing och lägga in flera Statiska Routrar. Vi lägger nu in en Statisk Routing. Det finns utrymme för 20 st i enheten. Man anger då Destinationsadress, Subnet mask och Gateway för den önskade rutten. Entry Om man klickar på Show Routing Table så visas enhetens Routingtabell. Gör nu övningarna i Arbetsboken till kapitel 10 11. VIRTUELLA NÄTVERK, VLAN VLAN, Virtuella LAN skall ej förväxlas med WLAN, Wireless LAN. VLAN är en teknik som utvecklats för att på enhetsnivå segmentera och dela upp nätverkstrafik. Med enhetsnivå menar jag olika nätverksenheter, unikt identifierade av deras MAC-adress. Varje enhet som ansluts till ett nätverk har nämligen en helt egen, unik MAC-adress. Detta gäller alla typer av enheter som skall kunna kommunicera i ett nätverk, datorer, skrivare, routrar, intelligenta switchar m.m. Alla dessa har av respektive tillverkare erhållit ett unikt nummer, MAC-adress. Med hjälp av VLAN-tekniken kan man styra så att kommunikationen i nätverket styrs till enheten med rätt MAC-adress. Detta utnyttjas i Switchar. Alla datorer, servrar och andra enheter man kopplar in i switchen identifieras tack vare sin unika MAC-adress. Denna skickas ju alltid med i Ethernet-paketet och tillhör skikt 2, Datalänkskiktet. Switch När switchen erhåller paket på någon port så identifierar den vilken MAC-adress som avsändaren av paketet har. MAC-adressen läggs in i en databas, switchdatabasen. Fortsättningsvis så vet nu switchen till vilken port som paket adresserade till denna MAC-adress skall skickas. Om switchen erhåller att paket adresserat till en mottagare vars MAC-adress ännu inte har identifierats så skickas detta till samtliga portar. Efter en stund när switchen varit igång ett tag så har den dock lärt sig till vilka portar alla datorer i nätverket är kopplade och då fungerar den optimalt. Till en och samma port kan flera MAC-adresser kopplas i switch databasen. Detta behövs om man i en switch kopplar in en annan switch eller en hub. Då måste ju alla MAC-adresser som är kopplade till porten kunna sparas. Switchen undersöker de kommunicerande datorernas MAC-adresser och öppnar endast upp förbindelse mellan de två datorer som skall kommunicera med varandra. Detta minskar drastiskt trafiken på nätverket eftersom de datorer som inte kommunicerar inte störs av någonting på nätverket. I en switch kan dessutom flera förbindelser mellan olika portar öppnas samtidigt vilket gör att flera datorer kan kommunicera med varandra samtidigt. Switchar är idag mycket mer vanliga än hubbar. Många routrar och brandväggar har även inbyggd switch. Switchen arbetar i OSI-modellens datalänkskikt, skikt 2. VLAN Det finns också switchar som kan delas upp i s.k. VLAN, Virtuella LAN. Detta innebär att några av portarna i switchen kopplas samman och isoleras från de andra portarna. Dessa kan då användas då man önskar flera, från varandra oberoende nätverk utan kontakt med varandra. Belastningen på nätverket minskar då eftersom trafiken inom ett VLAN stannar där utan att påverka andra portar och andra VLAN i switchen. Man erhåller också högre säkerhet då man enkelt kan hindra åtkomst till servrar och viktiga resurser på nätverket genom att placera dessa i andra VLAN. Man kan även låta någon eller några portar i switchen ingå i flera VLAN. Då kan flera VLAN ha åtkomst till en server eller till en internetförbindelse utan att de har tillgång till varandra. Varje Virtuellt nätverk, VLAN som man skapar får ett unikt nummer, 1-4094. VLAN med ID 0 eller 4095 är reserverade. VLAN med ID O ingår inte i något VLAN. Exempel på hur man konfigurerar en VLAN Switch visas längre fram i detta kapitel. 802.1Q protokollet Att skicka information om VLAN-tillhörighet i vanlig Ethernet-kabel är möjligt tack vare en utökning av Ethernet-protokollet. Det definieras i standarden 802.1Q. Det vanliga Ethernet-paketet ser ut så här: PRE Preamble, ett synkroniseringsfält bestående av 8 bytes där de 7 första har värdet 10101010, 10101010 osv DA Destination adress, Mottagarens MAC-adress, 6 bytes SA Source adress, Sändarens MAC-adress, 6 bytes Typ Anger typ av nätprotokoll som används, 2 bytes, IP har koden 0800 Data Själva datan som skickas. Max 1492 bytes FCS Checksumma. Används för felkontroll, 4 bytes Genom att lägga in ytterligare 4 bytes i Ethernet-paketet så möjliggörs VLAN-tekniken. VL 4 bytes som bl.a. anger VLAN ID. Dessa fyra bytes (32 bitar) fördelas så här: TPID 2 bytes, 16 bitar som har innehållet 1000 0001 0000 0000. Detta identifierar paketet som ett VLAN-paket. TCI 2 bytes, 16 bitar. Består i sin tur av tre delar: PCP Prioritetskod, 3 bitar. Anger prioritet 1-7 där 1 innebär lägst prioritet och 7 högst prioritet. Värdet 0 innebär bästa möjliga nivå. CFI 1 bit. Har värdet O för Ethernet VID VLAN-ID, 12 bitar. Anger VLAN-ID, 1-4094. Värdet 0 innebär att datapaketet inte tillhör något VLAN. Värdet 4095 kan ej användas. Trafikprioritering Med 802.1Q så kan man både prioritera trafiken i nätet och styra det till olika VLAN. Genom att ange olika värden på Prioritetsfältet, PCP, så kan man prioritera vilken trafik som skall ha förtur i nätet. Man använder idag det lokala nätverket till mycket mer än bara ren datatrafik. Telefoni i datanätet, s.k. IP-telefoni blir allt vanligare. Likaså att man skickar videotrafik från t.ex. videokonferenssystem. Dessa andra typer av trafik ställer andra krav på nätverket. Datatrafiken har som krav att komma fram på ett säkert sätt och någorlunda fort men en fördröjning på någon sekund för t.ex. e-post innebär ju oftast inte några problem. Däremot för video och ljud får det inte alls bli någon fördröjning i trafiken. Om man skall kunna parata med varandra i telefon så accepterar man inte avbrott eller fördröjningar. Inte ens om dessa är under en sekund. Man bör därför i nätverk som man även använder för t.ex. IP-telefoni använda sig av nätverksutrustning som stöder trafikprioritering enligt 802.1Q -standarden. VLAN i praktiken För att du som läsare skall förstå hur man kan utnyttja VLAN-tekniken så skall jag här ge några exempel på hur man kan göra. Exempel 1: Switchen i Serverrummet I ett företags serverrum så har man behov av många switch-portar. Man har också flera olika nätverk som inte får ha kontakt med varandra. Istället för att då köpa flera olika separata switchar så kan man använda en stor switch och dela upp den i flera VLAN. Då kan man dessutom enkelt efter hand anpassa hur många portar man behöver ha i respektive VLAN. DMZ står för DeMilitarized Zone och är ett mellanting mellan det oskyddade Internet utanför brandväggen och det interna nätverket innanför brandväggen. I DMZ placerar man ofta servrar som skall kommunicera mot internet, (mailserver, webbserver DNS-server osv). Exempel 2: Flera switchar i Serverrummet Om man behöver utöka med flera switchar i serverrummet eller om man har flera serverrum så måste man kunna flytta med de olika VLAN:en till de andra servarna. Då kan man konfigurera switchen så att flera VLAN skickas ut på en port. Detta kan man göra tack vare 802.1Q-protokollet. I en helt vanlig nätverkskabel mellan de båda switcharna kan man skicka flera VLAN. Man måste då konfigurera switcharna så att de skickar dessa signaler på denna port. Exempel 3: Flera separata nätverk behöver tillgång till internet Om man har flera olika nätverk, som inte skall kunna ha kontakt med varandra, men som alla skall kunna nå internet via en gemensam länk så kan man Trunka ihop flera VLAN i en port i switchen. Observera att trafiken på Trunk-porten inte kommer använda 802.1Q-protokollet utan det blir helt vanlig nätverkstrafik. Båda VLAN:en delar alltså på Trunk-porten men kan inte se varandra. 4: Trådlöst nätverk med flera olika VLAN Om man vill ha flera olika trådlösa nätverk, kopplade till olika VLAN, så kan man åstadkomma detta med 802.1Q-protokollet. Lite mer avancerade trådlösa Accesspunkter har stöd för fler än ett trådlöst nät och kan dessutom avkoda VLAN med 802.1Q-protokollet. Man skickar helt enkelt ut de VLAN man vill ha på en port i switchen och kopplar sedan Accesspunkten till denna. PRAKTISKT EXEMPEL - KONFIGURATION AV SWITCH MED VLAN Vi skall nu ta ett exempel på konfiguration av VLAN på en Switch. Vi väljer Superstack 3300 från 3Com. Det är en 24-portars Layer2-switch med VLAN. Detta innebär att den arbetar i OSI-modellens lager 2, Datalänkskiktet. När vi surfar in på switchens IP-adress möts vi av nedanstående bild. Här får man statusuppgifter. Går vi in under Configuration och Advanced Stack Setup för vi möjlighet att göra vissa avancerade inställningar. För att konfigurera VLAN kickar vi på VLANs. Från början finns endast ett VLAN. Det är VLAN 1 som är standard-VLAN:et där alla portar ingår. Detta är inget egentligt VLAN såtillvida att det förändrar 802.1Q-protokollet med någon ytterligare information. Man kan nu ange vilka av Switchens 24 portar som skall tillhöra detta VLAN och alltså vara ihopkopplade. Om man vill skapa ett nytt, eget VLAN klickar man på knappen Create... Då får man ange ett eget namn för detta VLAN. Namnet används bara internt i Switchen som information. 802.1Q VALN ID är det standardiserade numret för VLAN:et. Här kan man välja ett tal mellan 2 och 4094. Detta är VLAN:id som skickas med i 802.1Q-protokollet. Local ID är ett lokalt ID i Switchen. En switch kan t.ex. ha stöd för 20 VLAN. Nästa steg blir då att ange vilka portar som skall ingå i det nya VLAN:et. Om man väljer portar som redan är konfigurerade att ingå i ett annat VLAN så kommer trafiken på dessa att ske med 802.1Q protokollet. Gör nu övningarna i Arbetsboken till kapitel 11 12. TRÅDLÖSA NÄTVERK Trådlöst nätverk, RadioLAN, eller WLAN, Wireless Local Area Network, som det också kallas, är en mycket vanligt förekommande teknik. Den har blivit standardiserad som IEEE 802.11. Denna har flera olika varianter, IEEE 802.11b har en maximal överföringshastighet på 11 Mbit/s, IEEE 802.11a och IEEE802.11g klarar 54 Mbit/s. Det finns även utrustning som skall klara det dubbla, 108 Mbit/s men detta är inte någon officiell standard ännu. Detta är de teoretiskt högsta hastigheterna. I verkligheten sjunker hastigheten beroende på avstånd mellan accesspunkterna och miljön runt omkring. Utomhus kan data överföras på avstånd om några kilometer med bra antenner. Inomhus gäller något 10-tal meter. Ett begrepp som ofta används är WiFi, Wireless Fidelity (jämförbart med High Fidelity för musik). Detta är en certifiering som innebär att produkten är testad och uppfyller standarder så att den kan användas tillsammans med andra produkter, oavsett tillverkare. Många företag använder idag WLAN för att slippa dra nätverkskablar till alla ställen där man vill placera sina datorer. Om man använder sig av bärbara datorer är detta särskilt användbart. Då behöver man varken nätverkskabel eller strömkabel till datorn utan kan sitta och arbeta på valfri plats. Detsamma gäller för handdatorer och datorer placerade i truckar och liknade. Även i hemmen är WLAN idag mycket vanligt. Många gånger så köper man en Bredbandsrouter med inbyggd trådlös Accesspunkt. Dessutom finns WLAN inbyggt i många skrivare för hemmabruk. På offentliga platser flygplatser, hotell, caféer och liknande är det också vanligt med WLAN kopplat mot internet. Där kan man antingen erhålla fri access till internet eller köpa en kod som gör det möjligt att koppla upp sin bärbara dator mot internet. Ett trådlöst nätverk, WLAN, består av flera ansluta enheter med sändare och mottagare som kommunicerar med varandra via radiosignaler. Frekvensbanden som används är oftast licensfria. Det licensfria ISM-bandet på 2,4 GHz, används av standarderna 802.11b och 802.11g. 5 GHz UNII-bandet används av 802.11a och 802.11h där 802.11a kräver licens i Sverige medan 802.11h uppfyller regler som gör att denna teknik får användas i Europa. Nätbyggnad med WLAN Ett trådlöst nätverk sätts oftast upp med en eller flera Accesspunkter som är kopplade till det vanliga nätverket med kabel. De trådlösa enheterna, PC (oftast bärbara), mobiltelefoner, surfplattor m.m. ansluter sedan trådlöst till någon av accesspunkterna. Detta kallas för Åtkomstplatsnätverk. Man kan även placera accesspunkter utan anslutning till något kabelbundet nätverk. Accesspunkten kan då istället kommunicera med en annan accesspunkt i närheten och genom detta så kan man förlänga räckvidden genom att placera accesspunkterna i en kedja. I detta läge fungerar accesspunkten som en Repeater. Man kan även skapa ett WLAN mellan två trådlösa enheter, t.ex. två bärbara datorer. Detta kallas Dator-dator nätverk, Peer-to-peer. Då kan endast dessa två enheter kommunicera med varandra trådlöst. Vill man att fler än två skall kunna kommunicera med varandra så måste man ha en Accesspunkt. Man kan också koppla upp två Accesspunkter mot varandra för att förena de båda nätverken i två byggnader utan att behöva dra en kabel mellan dem. Med externa antenner så kan man på detta sätt kommunicera flera kilometer. I detta läge fungerar accesspunkten som en Brygga, Bridge. Arbetssätt och funktion Accesspunkten är den enhet som har kontroll över det trådlösa nätverket. Den konfigureras med ett namn, SSID, Service Set IDentifier, vilket alltså är namnet på det aktuella trådlösa nätverket. Normalt så sänder accesspunkten ut detta så att enheter som kommer inom räckhåll skall kunna upptäcka nätverket. Den trådlösa enheten, t.ex. en dator eller mobil, lyssnar normalt efter om det finns trådlösa nätverk i dess närhet. På en dator brukar man kunna se vilka trådlösa nät som finns inom räckhåll genom att klicka på nätverksikonen. Här brukar man också se signalstyrkan samt om nätverken är skyddade eller oskyddade. För att öka säkerheten kan man "gömma" ett trådlöst nätverk genom att göra en inställning så att accesspunkten inte annonserar ut nätverkets SSID öppet. I enheten, datorn eller mobilen, kan man ansluta till ett trådlöst nätverk som man har inom räckhåll. En enhet kan bara vara ansluten till ett nätverk åt gången. En accesspunkt kan ha ett flertal samtidigt anslutna enheter. Man kan även sätta upp flera trådlösa nätverk med samma SSID (och samma säkerhetsnyckel) om man vill täcka ett större område. Då väljer enheten den accesspunkt som har bäst signalstyrka. När man ansluter till ett trådlöst nätverk så får man normalt uppge den säkerhetsnyckel som nätverket är skyddat med. Man kan även ha helt öppna, oskyddade nätverk men detta rekommenderas inte. Läs mer om detta i nästa kapitel. När en enhet konfigurerats för att ansluta till ett trådlöst nätverk så kan detta nätverk sparas på enheten så att den automatiskt kan ansluta till nätverket i fortsättningen när den kommer inom räckhåll. Då sparas även den angivna säkerhetsnyckeln i enheten. På enheten kan man ange i en lista vilken prioriteringsordning som nätverken skall vara i. Detta så att det nätverk med högre prioritet ansluts till i första hand. Standarder för WLAN Samtliga standarder för WLAN regleras genom IEEE 802.11. Den ursprungliga standarden från 1997 har utökats med nya funktioner. Förbättringar har gjort inom flera områden, både hastighet, säkerhet och funktionsmässigt. Varje ny standard har fortfarande namnet 802.11 och har dessutom fått en bokstav på slutet, t.ex. 802.11g. Standard 802.11 År 1997 Beskrivning Grundstandarden, upp till 2 Mbit/s både via radio i 2,4 GHz ISM-bandet och IR. 802.11a 1999 1999 Utökning av 802.11 med upp till 54 Mbit/s via radio i UNII-bandet (5 GHz). 802.11b 1999 Utökning av 802.11 med upp till 11Mbit/s enbart via radio i 2,4 GHz ISMbandet. 802.11c 2001 Bryggningsprocedurer, del av IEEE 802.11d. 802.11d 2001 Standard för hur accesspunkter annonserar landskod så att klienter kan anpassa sig till olika länders radioband. 802.11e 2005 QoS, resurstilldelning av bandbredd beroende på innehåll. WMM (Wireless Multi Media) är en delmängd. 802.11f 2003 IAPP, standard för kommunikation mellan accesspunkter. Tillbakakallad 2006. 802.11g 2003 54 Mbit/s, i 2,4 GHz ISM-bandet, skall vara bakåtkompatibelt med 802.11b. 802.11h 2004 Standard för dynamiskt frekvensval och begränsning av uteffekten för att uppfylla reglerna för 5 GHz-bandet i Europa. 802.11i 2004 Säkerhet för åtkomstkontroll och kryptering av 802.11, WPA2 är en interoperabilitetscertifiering av en delmängd av denna standard. 802.11j 2004 En anpassning av frekvensuppdelningen för Japan. 802.11n 2008 600 Mbit/s i 2,4 GHz eller 5 GHz-bandet. Bakåtkompatibel med 802.11g 802.11ac 2022 1 Gbit/s 15 GHz-bandet. Källa: Wikipedia, den fria encyklopedin, www.wikipedia.se men inte korrekt! Fler standarder Utöver detta finns de "vanliga" 802.1-standarderna som kan gälla både för kabelnätverk och trådlösa nätverk. Ett exempel på detta är 802.1X som regelerar säkerhet för åtkomstkontroll med EAP och RADIUS. Gör nu övningarna i Arbetsboken till kapitel 12 13. SÄKERHET I TRÅDLÖSA NÄTVERK I ett trådlöst nätverk är det särskilt viktigt att tänka på säkerheten. I ett oskyddat trådlöst nätverk är det mycket enkelt för någon att placera sig utanför företaget, exempelvis i en bil, och med en dator koppla in sig på det trådlösa nätverket och då komma åt viktig information på företagets datorer och servrar. Det går också lätt att avlyssna den pågående trådlösa datatrafiken. Jämför med ett vanligt nätverk med kabel där man måste ta sig in i lokalen och koppla in sig i ett nätverksuttag. Man har ju lås på dörren och då bör man även "låsa" möjligheten att ta sig in via det trådlösa nätverket. Det finns ett flertal åtgärder man kan göra för att skydda sitt trådlösa nätverk. Man brukar ange att ett lösenord behövs för att ansluta sig till nätverket, man kan kryptera trafiken med olika metoder, man kan dölja nätverkets SSID från att annonseras ut och man kan spärra åtkomsten till enbart vissa datorer. Kryptering Kryptering kan göras med olika metoder. WEP, Wired Equivalent Privacy var den första metoden som togs fram men den visade sig snart inte räcka till. Då övergick man till standarden WPA, WiFi Protected Access, som senare följts av WPA2. WPA och WPA2 kan använda två olika typer av krypteringsnycklar, TKIP och AES. Allra bäst säkerhet kan man uppnå genom att använda sig av en RADIUS-server. Då kan man dessutom styra åtkomsten till det trådlösa nätverket på datoroch användarnivå. WEP WEP, Wired Equivalent Privacy, innebär att datatrafiken, både sändning och mottagning krypteras. Krypteringen förhindrar att obehöriga kan avlyssna trafiken. För att koppla upp sig i ett krypterat nätverk måste man ange krypteringsnyckeln. Med WEP, krypterar man med 40/64 bitar eller 128-bitars kryptering. Det senare är säkrare men inte helt säkert. I accesspunkten anger man ett lösenord som skall användas som nyckel. I accesspunkten omvandlas sedan lösenordet man angivet till en krypteringsnyckel. Denna används sedan både av sändare för att kryptera paketen som sänds ut och av mottagaren som tar emot paketen. WEP använder krypteringsalgoritmen RC4. En säkerhetsbrist med WEP är att samma krypteringsnycklar används till dess att man manuellt byter lösenordet på accesspunkten och på alla trådlösa enheter. Detta är förenat med en hel del manuellt arbete och därför så byter man inte nycklar så ofta. När samma krypteringsnyckel används hela tiden så är det ganska enkelt för någon att avlyssna trafiken och hitta nyckeln, särskilt om nätverket har stor trafik. Detta p.g.a. att datatrafiken uppträder i vissa bestämda mönster. Det finns programvara med vilket man kan avlyssna trafik och hitta nyckeln i ett nät på ett antal minuter. WPA WPA, WiFi Protected Access, är säkrare än WEP. Även med WPA-kryptering skapas nycklarna i accesspunkten utifrån angivet lösenord. Krypteringsnycklarna som används vid kommunikationen i nätet byts dock ut automatiskt med jämna mellanrum. Detta sker helt automatiskt i och med att accesspunkten distribuerar ut s.k. dynamiska nycklar till alla anslutna enheter. På så sätt blir det mycket svårare att räkna ut vilken nyckel som för tillfället används. Dessutom så har krypteringsalgoritmerna förbättrats jämfört med WEP bland annat med en förbättrad checksumma i datapaketen. WPA2 WPA2, WiFi Protected Access 2, är en vidareutveckling av WPA. Den har ännu bättre säkerhet tack vare att sändare och mottagare vid varje sändningstillfälle kommer överens om en krypteringsnyckel vilket gör det mycket svårare att räkna ut nyckeln genom avlyssning. Nyckeln byts m.a.o. vid varje sändning vilket gör det nästintill omöjligt att avlyssna trafiken och genom detta räkna ut nyckeln. En annan fördel med WPA2 är att den stöder Roaming bättre, alltså när man förflyttar sig och kommunicerar med olika accesspunkter. PSK PSK, Pre-shared Key, är det lösenord man ställer in i Accesspunkten och som man måste ange när man ansluter en trådlös enhet. Denna används för att räkna ut krypteringsnyckeln. Längden på PSK skall vara mellan 8 och 63 tecken. En slumpmässig teckensträng på 13 tecken anses ge fullgod säkerhet. TKIP TKIP, Temporal Key Integrity Protocol, är en av de krypteringssätt som kan användas inom WPA och WPA2. TKIP var det ursprungliga krypteringssättet som användes med WPA. TKIP använder krypteringsalgoritmenen RC4. AES AES, Advanced Encryption Standard, är den andra av de två krypteringssätten som kan användas inom WPA och WPA2. AES är ännu säkrare än TKIP och bör användas för bästa säkerhet. AES använder krypteringsalgoritmen CCMP vilken är säkrare än RC4. WPA-Personal eller WPA-Enterprise Både WPA och WPA2 kan använda två olika system för nyckelhantering. WPA-Personal och WPAEnterprise. WPA-Personal används för hemmaanvändare och mindre kontor. Med detta använder man PSK, Preshared Key. Alltså ett lösenord som man ställer in i Accesspunkten och sedan anger på de klientdatorer som skall ansluta till nätverket. WPA-Personal kallas ibland även för WPA-PSK. WPA-Enterprise används på större företag. Här använder man inte PSK utan i stället en mer avancerad lösning för att generera och lagra nycklarna. Man kan till exempel använda en RADIUSserver. Denna kan tillhandahållas från en Windows Server eller via säkerhetslösningar från Cisco, Intel eller Symantec. Det finns även Open-Source produkter för detta. EAP EAP, Extensible Authentication Protocol, är det standardiserade protokollet som används för att kommunicera med en RADIUS-server. EAP är standardiserat i 802.1X Om man anger WPA-Enterprise eller WPA2-Enterprise så kan man välja olika lösningar för nyckelhanteringen. Antingen en lösning med EAP från till exempel Microsoft, Cisco eller Intel. Man kan även använda sig av Smartcard eller ett Certifikat installerat på datorn. Om man väljer en EAP-lösning med RADIUS-server (se nedan) används certifikatsystemet med rotcertifikat och betrodda certifikatsutgivare för att garantera klientens och serverns äkthet. RADIUS RADIUS, Remote Authentication Dial-In User Services, är ett protokoll för att central administrera autentisering mot olika typer av utrustningar. RADIUS är särskilt lämpligt att använda på större företag och i stora organisationer. En stor organisation har antagligen ett stort antal Accesspunkter och annan nätverksutrustning. Att då ha kontroll över lösenord för användarinloggning på alla dessa blir då ett stort arbete. Ta som ett exempel om ett företag har ett flertal trådlösa nätverk och alla dessa har samma lösenord. Om lösenordet kommer i orätta händer måste detta bytas ut på alla accesspunkter. Det blir ett stort jobb. Med en RADIUS-server uppstår aldrig detta problem. Samma sak om någon anställd slutar, då skall han inte längre kunna logga in på det trådlösa nätverket. Med RADIUS kan man enkelt stänga av åtkomsten enbart för den aktuella användaren. Med en RADIUS-server kan man styra vilka användare som skall ha åtkomst till det trådlösa nätverket utifrån deras inloggning i nätverket. Man kan skapa olika åtkomstgrupper som skall ha tillgång till olika delar i nätverket. Man kan även styra åtkomsten utifrån vilken dator som inloggningen sker ifrån. En RADIUS-Server kan installeras på en Windows Server. Denna installeras som en del i NPS, Network Policy Server. Vi tar inte upp mer om RADIUS i denna bok utan återkommer till detta i kursen Nätverkssäkerhet. Övriga säkerhetsmetoder MAC-adress filtrering MAC-adress filtrering gör att bara utvalda datorer kan få tillträde varje dator och enhet på nätverket har en unik MAC-adress så kan man styra vilka enheter som skall kunna ansluta sig till det trådlösa nätverket genom att utnyttja denna. I de flesta Accesspunkter kan man lägga upp en lista på vilka datorer som skall kunna ansluta sig till det trådlösa nätverket. Se kommande praktiskt exempel på konfiguration av Accesspunkt. Att använda MAC-adress filtrering är ingen absolut säker metod. Det finns program med vars hjälp en person kan ändra MAC-adressen i datorn vilket kan utnyttjas av Hackers. Dölja SSID Genom att dölja SSID kan man förhindra att accesspunkten automatiskt sänder ut sitt SSID, Service Set Identifier. Förutom SSID sänds även information om datahastighet och krypteringsmetod. Om detta sänds ut automatiskt via Broadcast, så kan nätverket upptäckas automatiskt. Om man stoppar detta från att sändas ut automatiskt så blir det svårare för obehöriga att upptäcka det trådlösa nätverket. Då måste man manuellt ange SSID på de datorer man vill ansluta sig med. Att dölja SSID är heller inget absolut skydd. Man kan med ganska enkla hjälpmedel avlyssna trafiken på det trådlösa nätverket och därigenom läsa av SSID. I ett nätverk med ett dolt SSID kan det ta längre tid för klienter att koppla upp sig mot Accesspunkten när man t.ex. startar datorn. Samma sak gäller för mobiltelefoner vilket kan leda till svårigheter med WLAN-access för dessa om man döljer SSID. Gör nu övningarna i Arbetsboken till kapitel 13 14. PRODUKTER FÖR WLAN Det finns en mängd olika nätverksprodukter för WLAN, accesspunkter, nätverkskort, bredbandsrouter, skrivarserver mm. I hemmen och i mindre kontor så kan man skaffa en router med inbyggd accesspunkt i stället för att behöva ha två separata enheter. För att en dator skall kunna kommunicera via WLAN krävs att den är utrustad med ett nätverkskort för WLAN. De flesta bärbara datorer är idag utrustande med detta. För stationära datorer kan man till exempel köpa WLAN nätverkskort med USB-anslutning eller med PCI för intern montering i datorn. För att kunna kommunicera längre sträckor utomhus kan man använda separata utomhusantenner. Då kan man erhålla räckvidder på flera kilometer. Man kan också använda WLAN för trådlös kommunikation längre avstånd utomhus. Till exempel mellan olika byggnader. Då ansluter man en extern antenn till var sin Accesspunkt och konfigurerar dessa till att endast kommunicera med varandra. Utomhus kan man använda sig av olika antenner beroende på om man vill ha rundstrålande sändning eller riktad för en punkt-punkt förbindelse. Accesspunkt och Router En Accesspunkt är själva grundstenen i ett trådlöst nätverk. Den ansluts till det trådbundna nätverket. Det är accesspunkten som skapar det trådlösa nätverket och det är genom denna som all kommunikation går. Anslutningar Accesspunkten ansluts till det vanliga trådbundna nätverket med vanlig nätverkskabel. Den har mestadels inbyggd antenn (vanligtvis 2 st) som kan vinklas för att ge bästa utsignal. Extern antenn brukar kunna anslutas på en del modeller. Accesspunkter behöver också ha strömförsörjning via en nätadapter. För att förenkla kabeldragning och slippa placera accesspunkten nära ett eluttag så kan man till vissa modeller använda sig av PoE, Power Over Ethernet. Med denna teknik så används några av ledarna i nätverkskabeln för strömförsörjning. Det finns ju normalt fyra ledare som inte används i en kategori-5 kabel. Då behöver man bara dra fram nätverkskabel till accesspunkten och kan placera den på valfritt ställe. PoE är standardiserat i IEEE 802.3at och skall kunna leverera spänningen 44 V DC med minst 25 W. Strömmen får antingen via en switch som klarar att leverera PoE eller med en separat PoE injektor. Accesspunkten är ibland inbyggd i en Router med brandväggsfunktioner vilket är smidigt att ha till exempel hemma eller på ett mindre kontor. I denna typ av router brukar man även ha inbyggd en switch med ett antal nätverksuttag. För att ansluta en extern antenn så använder ofta en mycket smal koaxialkabel. Ofta man kan ta bort antennen som sitter på accesspunkten och istället koppla in en kabel till en extern antenn. Kontakttypen brukar då vara SMC. Konfiguration I accesspunkten konfigurerar man alla grundläggande inställningar för enheten och för det trådlösa nätverket. Man anger nätverkets SSID. Man anger vilken 802.11-standard accesspunkten skall arbeta i (om accesspunkten klarar flera). Man anger också vilken kanal som skall användas. Dessutom gör man inställningar avseende säkerhet, lösenord och krypteringsmetod osv. Montering Det finns olika typer av accesspunkter, avsedda att monteras på olika sätt, inomhus eller utomhus. En vanlig modell är en platt modell med samtliga uttag på baksidan och med indikeringslampor på framsidan. Denna kan man ställa på ett skrivbord eller montera hängande på en vägg. Kombinerade Accesspunkt/Router brukar ha detta utseende. En annan modell är en renodlad accesspunkt som har ett snyggare utseende och som är gjord för att sitta monterad högt upp på en vägg eller i ett tak. Ofta med PoE och ibland som Repeater. Denna placering är att föredra när man vill ha bästa radiotäckning. Ytterligare en annan modell är gjord för att monteras utomhus intill en antenn. Skruvad på en vägg eller fastbuntad på ett maströr. Denna modell är vattenskyddad för att klara av att sitta utomhus. PRAKTISKT EXEMPEL - KONFIGURATION AV ACCESSPUNKT FÖR 802.11b/g Vi skall nu ta ett praktiskt exempel med konfiguration av en Accesspunkt. Vi kommer att använda oss av Accesspunkten Cisco Small Business WAP200. Detta är en relativt enkel accesspunkt som har stöd för både 802.11b och 802.11g. Priset för denna ligger på strax under 1000 kr (mars 2013). Datablad Nedan ser du utdrag ur dess datablad, 2 sidor. Konfigurera Accesspunkten För att konfigurera accesspunkten så ansluter du den med en nätverkskabel till ditt lokala nätverk. För att komma åt att konfigurera accesspunkten så använder du din dators webbläsare. Du anger accesspunkten IP-adress i adressfältet. När accesspunken används för första gången har den en fabriksinställd IP-adress. Denna står angiven i manualen. OBS! Tänk på att din dator måste ligga på samma Nät-ID för att du skall komma åt den. Du måste då eventuellt sätta en fast IP-adress på din dator. Ange sedan lösenordet som behövs för att logga in i accesspunkten. Även detta står i manualen. När du har loggat in i Accesspunkten för första gången så måste du antagligen byta dess IP-adress. Du kan ange en annan fast IP-adress som passar i ditt nätverk, eller så kan du välja automatisk IPadress, DHCP. Detta gör du i menyvalet Basic Setup. Spara dina inställningar genom att trycka på Save. Grundläggande inställningar Denna accesspunkt kan ha upp till fyra olika SSID samtidigt. För varje av dessa kan man ange om SSID skall annonseras ut via Broadcast, se kapitlet om Säkerhet. Under Wireless Channel väljer man vilken kanal som skall användas. Säkerhetsinställningar Under menyn Wireless - Security väljer man krypteringsmetod och 11-2.462GHz lösenord samt andra inställningar för säkerhet. Om man angett att accesspunkten skall ha flera SSID så kan man göra olika säkerhetsinställningar med kryptering och lösenord för var och en av dessa. Man kan välja på flera olika krypteringsmetoder. Dessa förklaras i kapitlet om Säkerhet. Under menyn Wireless - Connection Control kan man styra vilka datorer som skall ha tillgång till det trådlösa nätverket. Detta gör man genom att ange datorernas MAC-adresser. För varje SSID så kan man välja att enbart tillåta vissa MAC-adresser eller blockera vissa adresser. Under Advanced Settings så kan man göra vissa avancerade inställningar. Bland annat välja CTS/RTS. Under menyn Wireless - VLAN & QoS kan man ange om Accesspunkten skall arbeta normalt eller tillhöra något specifikt VLAN, Virtuellt Nätverk (på det lokala nätverket). Man kan här även ange tillhörighet till olika VLAN för de olika SSID man har angett i Accesspunkten samt sätta prioritet och välja maximal hastighet för var och en av dem. Tips från verkligheten Genom att utnyttja möjligheten med flera parallella trådlösa nätverk med olika SSID kopplade till olika VLAN så kan man på ett företag låta användarna som ansluter sig trådlöst erhålla olika tillgång till nätverket, beroende på vilket när de ansluter sig till. Man kan till exempel ha ett öppet nätverk för gäster och kunder, utan kryptering, där man enbart har tillgång till internet. Parallellt med detta så kan man ha ett krypterat nätverk med ett annat SSID enbart för företagets egna datorer där man även har tillgång till företagets filservrar och applikationer. Operationsmod Under menyn AP Mode kan man ange Accesspunktens operationsmod. Man kan välja på: - Access Point. Fungerar som en vanlig Accesspunkt. Detta är default. Man kan här ange om WLAN-signalen skall få sändas vidare av en eller flera Repeater och i så fall kan man även ange deras MAC-adresser. - Wireless Repeater. Accesspunkten fungerar som en Repeater för ett befintligt WLAN. Man anger då MAC-adressen till Accesspunkten i det befintliga WLAN:et. - Wireless Bridge. Accesspunkten fungerar som en Brygga. Detta använder man om man vill skapa en trådlös förbindelse mellan två olika nätverk genom att använda två Accesspunkter kopplade mot varandra. Detta är användbart om man vill koppla ihop nätverken i två byggnader. Med vanlig nätverkskabel har man en maximal längd på 100 meter. Är avståndet längre än så kan man antingen använda optisk kabel vilket är ganska dyrt, eller sätta upp två accesspunkter i brygga. Till dessa kopplar man då ofta riktantenner som skruvas fast på husens fasader. Övriga menyer innehåller funktioner för administration, loggning, uppdatering och återställning. Vi går inte in i dessa funktioner här. Trådlöst nätverkskort Ett trådlöst nätverkskort är som regel inbyggt i varje bärbar dator. Även surfplattor och mobiltelefoner har inbyggda trådlösa nätverkskort. Detsamma gäller vissa modellet av skrivare, samt annan kringutrustning. Trådlösa nätverkskort finns både för montering internt i datorn och externt med USB-anslutning. Det trådlösa nätverkskortet installeras i datorn med drivrutiner på vanligt sätt. Det trådlösa nätverkskortet är inställt för att hela tiden lyssna efter om det finns trådlösa nätverk i dess närhet. Nätverkskortet lyssnar efter Accesspunkter som sänder ut sina SSID via Broadcast. Om ett nätverk är tillgängligt så visas det på en ikon i datorns statusfält. För att ansluta till ett skyddat trådlöst nätverk så måste man ange dess lösenord. För att ansluta till ett trådlöst nätverk som inte sänder ut sitt SSID så måste man lägga upp nätverket manuellt. Detta gör man under Hantera trådlösa nätverk som finns i Nätverk och delningscenter. Klicka på Lägg till. Egenskaper för trådlöst nätverksanslutning Om man visar Status för en trådlös nätverksanslutning så får man information om åtkomst till nätverk och internet, SSID, Hastighet och Signalstyrka. Man får även information om IP-adress mm. Beroende på vilket nätverkskort man har kan man Konfigurera... eventuellt göra fler inställningar. Med detta nätverkskort från Intel kan man välja frekvensband, 2,4 GHz, 5,2 GHz eller båda parallellt. Man kan också ange Accesspunktens MAC-adress om man endast skall kunna ansluta mot en Accesspunkt. Man kan också ange ett program som startas automatiskt vid anslutning till nätverket. Man kan koppla på en funktion för Radiomätning. Egenskaper för Trådlöst nätverkskort Man kan också ange Egenskaper för själva nätverkskortet (hårdvaran). Klicka på knappen Konfigurera för att göra dessa inställningar. Under fliken Avancerat kan man göra ett antal olika inställningar. Dessa beror på vilket kort man har. Här visas några av de inställningar man kan göra. Gör nu övningarna i Arbetsboken till kapitel 14 15. VERKTYG OCH PROGRAM FÖR FELSÖKNING OCH MÄTNING Praktisk hantering och felsökning med TCP/IP Om man får problem med en nätverksanslutning så kan man prova kommandot Diagnostisera. Detta hittar man i statusfönstret för nätverksanslutningen. Om inget annat hjälper kan man Återställa anslutningen. Detta innebär att en ny IP-adress hämtas från DHCP-servern via en ny Lease request. Förhoppningsvis så löser detta problemet. Knappast! Kommandotolken Det finns inbyggt i TCP/IP-protokollet ett flertal olika kommandon och funktioner för felsökning och spårning. Dessa startas oftast med hjälp av olika textkommandon i Kommandotolken. Gör så här i Windows 10 för att starta ett fönster med kommandotolken. Klicka på Startsymbolen, skriv in CMD i sökrutan, klicka sedan på Enter. Kommandotolken fungerar ungefär som "gamla hederliga" DOS. Man kan använda ett flertal olika kommandon i kommandotolken, ovan är bara några av dessa. Kommandot Help listar vanliga DOS-kommandon. Om man vill ha hjälp om något visst kommando så skriver man Help följt av kommandots namn. Help <kommando> Man skriver det önskade kommandot efter Prompten, till exempel C:\Users\Kalle> Prompten anger i vilken katalog man för tillfället står i. I detta fall Users\Kalle på enheten C: Kommandotolken "minns" vilka tidigare kommandon man utfört under aktuell session. För att repetera ett tidigare inskrivet kommando, klicka på knappen pil upp önskat antal gånger. Genom att klicka på Systemmenyn längst upp till vänster så kommer man åt en liten meny. Under Redigera/Edit så kan man kopiera och klistra in text samt söka i texten. Under Egenskaper/Properties så kan man ange olika alternativ för hur texten i kommandofönstret skall visas på skärmen. Ett vanligt kommando är ipconfig som visar aktuell IP-adress. TCP/IP-kommandon Förutom de "vanliga" DOS-kommandona så finns ett antal användbara TCP/IP-kommandon. För att få mer hjälp om något specifikt, skriv kommandots namn följt av ett frågetecken till exempel Ping /? Program och tjänster för hantering och felsökning av TCP/IP Det finns även ett antal olika program som man kan använda för att hantera och felsöka på nätverksförbindelser. Flera av programmen är gratisprogram, s.k. Shareware eller Freeware. Det finns även tjänster på nätet som utför detta. Ping Tester Ping Tester (Pingeasy.exe) är ett program som, från datorn det installeras på, kan göra upprepade försök att kontakta en eller flera IP-adresser med hjälp av kommandot Ping. Man kan ange testperiod och testintervall. Man kan också schemalägga testerna till andra tidpunkter, t.ex. nattetid eller andra tider på dygnet då man inte finns på plats. Man kan också låta programmet scanna en grupp av IP-adresser, t.ex. det interna nätverket, för att undersöka vilka IP-adresser som används av olika datorer och enheter på nätverket. Programmet kan, istället för att använda kommandot Ping, istället göra liknande motsvarade med kommandot Tracert. Ping Tester är ett gratisprogram som kan laddas hem från internet. Läs mer på www.pingtester.net. Wireshark Wireshark är ett program för att analysera kommunikation på nätverket. Det scannar av all kommunikation som finns på det nätverk som datorn är ansluten till och analyserar denna på djupet. Programmet är användbart då man vill studera kommunikationen på nätverket i detalj om man t.ex. har problem med stor belastning p.g.a. mycket trafik eller liknande. Programmet visar alla datapaket som skickats på nätverket, inte bara det som skickar till eller från den aktuella datorn, utan all trafik på nätverkskabeln eller det trådlösa nätverket som datorn är ansluten till. Datapaketen visas kontinuerligt i realtid på bildskärmen och man kan även gå tillbaka för att studera innehållet i paketen i efterhand. Innehållet visas både i hexadecimal form och vilka ASCIItecken som detta motsvarar. Man blir ofta förvånad hur mycket trafik som egentligen pågår. Programmet kan användas för att söka upp tillfällen när en viss typ av paket med ett visst innehåll skickas. Det kan också användas för att ta fram statistik för kommunikationen på nätverket. Wireshark kan laddas hem på www.wireshark.org. Program för att felsöka och mäta i trådlösa nätverk går igenom i senare kapitel längre fram i boken. Tjänster på nätet för felsökning och kontroll av TCP/IP På nätet finns flera olika webbsidor där man hittar tjänster för att felsöka och studera kommunikationen över nätverket. Ett exempel på en sådan sida är http://www.yougetsignal.com. Här finns ett flertal olika felsökningsverktyg samlade. Inte perfekt men kanske ibland eventuellt kan hjälpa lite….KANSKE. Verktyg för felsökning och mätning i trådlösa nätverk När man skall installera, kontrollera och felsöka trådlösa nätverk så har man mycket god användning av särskilda program för detta. Inbyggt i Windows finns endast standardfunktioner för nätverk. Felsökningsfunktioner i Windows I Windows finns de vanliga funktionerna för hantering, övervakning och felsökning av nätverk. På ikonen för trådlöst nätverk i aktivitetsfältet finns en liten symbol som indikerar om nätverk är tillgängligt samt aktuell signalstyrka med en liten graf. Om man klickar på denna så får man mer information. Nätverksdiagnostik Om man har något fel på sin anslutning så kan man prova Nätverksdiagnostik. Denna startar man genom att högerklicka på nätverksikonen och välja Felsök problem. Då startar en guide som förhoppningsvis löser problemet. Denna löser sällan något! Aktivitetshanteraren I Aktivitetshanteraren finns en flik för Nätverk. I denna kan man se ett diagram över nätverkets Man kan också se aktuella värden. Resursövervakaren I Resursövervakaren kan man i fliken Översikt få mer information om nätverket. Under fliken Nätverk får man ytterligare information om nätverkets användning. Man kan se vilka tjänster som utnyttjar nätverket och hur mycket data som skickas och tas emot. inSSIDer inSSIDer är ett mycket bra program för kontroll och felsökning av trådlösa nätverk. Programmet tillverkas av företaget Metageek och är ett gratisprogram som man kan ladda hem från nätet. inSSIDer utnyttjar datorns trådlösa nätverkskort för att scanna av vilka trådlösa nätverk som kan hittas i närheten. Dessa visas både som en lista i programfönstrets övre del och med en grafi fönstrets nedre del. Programmet kan söka efter nätverk både i 2,4 GHz och 5 GHz-banden, förutsatt att datorns nätverkskort klarar båda två. Om datorn har en inbyggd eller inkopplad GPS så kan man dessutom positionsbestämma accesspunkterna som programmet hittar. https://www.metageek.com/inssider/ Gör övningarna i Arbetsboken till kapitel 15 DEL3-ADMINISTRATION AV SERVERDATORER OCH ANDRA ENHETER I denna del skall vi beröra följande punkter i kursplanen: • Hantering av strömbortfall i en servermiljö och konfigurering av larm vid driftavbrott. Implementering av driftsäkerhet på såväl disknivå som elkraftsnivå. • Övervakning och styrning av rättigheter vid utdelning av nätverksåtkomst. • Samordning av inloggning och auktorisering till olika system. • Lagar och andra bestämmelser, till exempel personuppgiftslagen, samt policydokument. 16. FLERDISKSYSTEM, RAID Ett flerdisksystem, där flera hårddiskar arbetar tillsammans, används som regel på en serverdator samt i en lagringslösning med SAN. Fördelarna med detta kan bland annat vara: - Man kan skapa större sammanhängande lagringsarea tack vare att diskarna kopplas ihop logiskt och uppfattas av serverdatorn som en enda stor hårddisk. - Man kan enkelt lägga till mer utrymme genom att koppla in en extra hårddisk. Detta kan på vissa servrar även göras under drift så att man slipper stänga av systemet. - Man kan i vissa fall få snabbare läsning och/eller skrivning genom att informationen delas upp på flera diskar som samtidigt kan läsas/skrivas. - Man får ett säkrare system då man ofta väljer att spegla hårddiskarna eller använda en disk för paritetsinformation (RAID5). Ett flerdisksystem brukar kallas för ett RAID-system. RAID står för Redundant Array och Independent Disks och det finns olika nivåer av RAID, till exempel RAID0, RAID1, RAID5 samt kombinationer av dessa (RAID10, RAID50 etc.). RAID-nivåer De olika typerna av RAID-system brukar kallas för RAID-nivåer. Det finns tre huvudsakliga typer samt olika varianter och kombinationer av dessa. RAID0 RAID0 är en variant som från början inte fanns med bland de ursprungliga nivåerna. RAID0 kallas även för Stripe-Set och principen är att all data som skrivs delas upp i lika stora delar på de diskar som ingår i systemet. Om det finns tre diskar skrivs en tredjedel av informationen på varje disk. Med fyra diskar skrivs en fjärdedel på varje disk osv. När data sedan skall läsas från RAID-systemet så sker läsning från alla diskarna och sätts ihop i RAID-kortet innan det skickas till datorn. Man erhåller ökad läs- och skrivprestanda. Tack vare att diskarna kan arbeta parallellt så går både läsning och skrivning fortare jämfört med om man bara hade haft en hårddisk. Särskilt gäller detta stora filer. Detta trots att databehandlingen med att dela upp och sätta ihop information också tar tid. Ett krav med RAIDO är att diskarna är lika stora. Minst två hårddiskar behövs. En nackdel är att man inte får någon ökad säkerhet, tvärtom en sämre säkerhet eftersom hela systemet stannar om någon av diskarna slutar fungera. Då får man både dataförlust och driftstopp. Om man exempelvis har fyra hårddiskar i en RAIDO så har man fyra gånger högre risk för driftstopp jämfört med ett system med endast en hårddisk. Dataförlusten blir också svårare att hantera eftersom filerna ligger utspridda på samtliga diskar och därmed är svårare att återskapa. Säkerhetskopiering med mycket täta intervall (flera gånger i timmen) rekommenderas! + Snabbt - Dålig driftsäkerhet RAID1 RAID1 innebär Spegling mellan två diskar. Allt som information som skall skrivas skrivs samtidigt till båda diskarna. När data skall läsas räcker det att det görs från en av diskarna, de innehåller ju samma information. RADI1 innebär en väsentligt ökad driftsäkerhet. Om en av hårddiskarna slutar fungera så kan systemet fortsätta att arbeta utan driftstopp. Man får heller ingen dataförlust. Dock så får man en varning om att en av hårddiskarna slutat fungera. Man bör då ersätta denna snarast möjligt. Med bara en fungerande hårddisk har man ju inte längre någon ökad säkerhet. När man ersätter den trasiga hårddisken så återskapar systemet själv speglingen till den nya, tomma disken. Detta tar lite tid och under denna tid kan prestandan bli något lägre men systemet behöver i normalfallet inte tas ur drift. RAID1 innebär inte någon ökad prestanda när det gäller läsning och skrivning av data. Med RAID1 används endast två diskar som måste vara lika stora. Hälften av diskytan går åt till speglingen och kan inte användas till att lagra data. + Hög driftsäkerhet - Ingen ökad läs- och skrivprestanda - Dubbla mängden diskutrymme behövs RAID5 RAID5 är en variant där man kombinerar både snabbhet och ökad säkerhet. Det är en förbättring av RAIDO. RAID5 kallas även för Stripe-Set med Paritet. Principen är att all data som skrivs delas upp i ett antal lika stora delar (=antal diskar -1). Dessutom så skapar systemet en paritetsinformation (en form av checksumma). Paritetsinformationen kan användas för att återskapa den skrivna informationen om någon av diskarna skulle gå sönder. När data skall skrivas så skrivs delas denna upp, paritetsinformation skapas och allt detta skrivs sedan samtidigt till de ingående diskarna. I ett system med tre diskar så delas alltså informationen i två delar. Dessa skrivs till två av diskarna, paritetsinformationen till den tredje. Vilken disk som får paritetsinformationen växlas vid varje skrivtillfälle. När informationen skall läsas så läser man från alla diskarna samtidigt. Informationen sätts samman i RAID-kortet, paritetsinformationen ignoreras så länge alla diskarna fungerar. Om en av de ingående hårddiskarna slutar fungera så kan systemet fortsätta utan dataförlust. Informationen från de kvarvarande diskarna räcker för att återskapa all data. Systemet kan fortfarande arbeta men går nu långsammare på grund av att data ibland måste återskapas i samband med läsningen. Man bör då snarast möjligt ersätta den trasiga hårddisken. Utan paritetsinformation har man ju inte längre någon ökad säkerhet. När man ersätter den trasiga hårddisken så återskapar systemet själv speglingen till den nya, tomma disken. Detta tar lite tid och under denna tid kan prestandan bli något lägre men systemet behöver i normalfallet inte tas ur drift. RAID5 innebär alltså en ökad driftsäkerhet jämfört med att använda en enda separat disk. Lagringen. av paritetsinformationen gör att en man förlorar en del lagringsyta. Dock procentuellt mindre ju fler diskar man använder. RAID5 innebär både ökad prestanda när det gäller läsning och skrivning av data. Dock inte lika stor ökning som med RAIDO. Med RAID5 behövs minst tre diskar som måste vara lika stora. + Hög driftsäkerhet + Ökad läs- och skrivprestanda - Paritetsinformationen lägger beslag på diskutrymme RAID10 RAID10 är en variant som utnyttjar både RAIDO och RAID1 samtidigt. Den fanns inte med i de ursprungliga specifikationerna utan har tagits fram i efterhand. RAID10 kan även benämnas RAID1+0. Den bygger på att man har ett antal par av speglade hårddiskar, minst två uppsättningar, alltså fyra diskar. Med dessa skapar men sedan en RAID0. När man skriver till en RAID0-enhet så delas informationen först upp i lika många delar som man har RAID0-delar (minst 2 st). Dessa delar skrivs sedan samtidigt till de speglade disk-paren. När man skall läsa så räcker det att läsa från den ena disken i varje par. Informationen sätts sedan ihop som från en vanlig RAID0. Om någon av de ingående hårddiskarna i ett par slutar fungera så kan systemet fortsätta utan dataförlust. Man bör då snarast möjligt ersätta den trasiga hårddisken. Flera diskar kan gå sönder, så länge som inte båda diskarna i ett par går sönder så förlorar min ingen data. RAID10 innebär alltså en mycket ökad driftsäkerhet jämfört med att använda en enda separat disk. De speglade disk-paren gör att en man förlorar halva lagringsytan. RAID10 innebär både ökad prestanda när det gäller läsning och skrivning av data. Med RAID10 behövs minst fyra diskar som måste vara lika stora. + Mycket hög driftsäkerhet + Ökad läs- och skrivprestanda - Lägger beslag på halva diskutrymmet - Minst fyra diskar behövs Sammanfattning Tips från verkligheten Om driftsäkerheten är det viktigaste skall man använda RAID1 eller RAID10. Om man både vill ha driftsäkerhet och snabbare diskaccess så är RAID5 eller RAID10 att föredra. RAIDO används i regel inte på serverdatorer. RAID i en serverdator Ett RAID-system skapas genom att man i servern installerar ett RAID-kort. Till detta kan man sedan ansluta ett antal hårddiskar, SCSI, S-ATA eller SAS. Vissa moderkort har detta inbyggt från början. I RAID-kortet finns sedan mjukvara som man konfigurerar för att koppla samman diskarna i önskad RAID-konfiguration. Denna konfiguration görs oftast i BIOS-nivå eftersom RAID-kortet måste starta upp före serverns operativsystem. Man kan med RAID-kortet och dess anslutna hårddiskar skapa flera olika partitioner för servern att använda för operativsystem, virtuella maskiner, användardata mm. Man kan också skapa RAID-system enbart med mjukvara, t.ex. inne i operativsystemet (Diskhanteraren i Windows Server) men detta blir ingen riktig RAID så detta bortser vi från i denna bok. Man konfigurerar RAID:en i ett eget BIOS som är inbyggt i RAID-kortet. Denna konfiguration görs på servern innan Windows startas. I nästa kapitel skall vi visa i ett praktiskt exempel hur detta går till. Ibland används ett BIOS-liknande gränssnitt: Eller så kan man använda serverns inbyggda konfigurationsprogram som även kan köras remote. Läs mer om detta i kapitlet om Serverdatorn. Gör nu övningarna i Arbetsboken till kapitel 16 17. Avbrottsfri kraft, UPS Avbrottsfri kraft (Säker strömförsörjning), UPS, Uninterrupted Power Supply, är en mycket viktig funktion för att upprätthålla en hög driftsäkerhet. Alla serverdatorer och all nätverksutrustning bör vara ansluten till säker strömförsörjning. Serverdatorer måste vara ansluten till avbrottsfri kraft för att serverns funktioner och data ständigt skall vara tillgänglig på nätverket. För att själva nätverket skall fungera så behöver alla switchar, brandväggar och routrar också vara anslutna till avbrottsfri kraft. En viktig funktion hos en UPS är att klara av små korta strömavbrott och strömspikar som kan uppkomma vid till exempel åskväder. Den avbrottfria kraften erhåller man oftast från en s.k. UPS. Denna använder batterier för att leverera ström. Oftast är detta blyackumulatorer på 12 V som omvandlas till 220V. Man använder Blyackumulatorer på grund av dess långa livslängd, stora kapacitet och att de tål att laddas om många gånger. De är ju stora och tunga men detta har ju ingen betydelse då de är fast placerade i serverrummet. Batterier har dock en begränsad kapacitet så om man måste gardera sig för längre strömbortfall så kan man komplettera med en dieselgenerator i särskilt kritiska system. För serverdatorer är det också viktigt de stängs av kontrollerat INNAN batterierna i UPS:en tar slut. Annars kan hårddiskarna ta skada. För att kunna göra detta så installerar man ett program i servern som kommunicerarar med UPS:en och som gör så att servern stängs av i tid. UPS för nätverksutrustning Nätverksutrustning är inte så effektkrävande så de kräver inte så stor UPS. Det viktiga är dock att man verkligen ansluter ALL nätverksutrustning till UPS:en. Särskilt viktigt är detta på grund av att nätverksutrustning är extra känsligt för strömspikar på grund av åska. Switchar har ju många nätverkskablar anslutna och det är i dessa som strömspikar kan uppstå vid åska. En Switch med jordat uttag kopplat till en UPS kan då avleda dessa strömspikar. Tips från verkligheten... Bunta gärna fast elkablarna vid UPS:en så att man inte kan rycka ur dessa av misstag. Se också till att själva UPS:ens anslutningskabel är säkert dragen och ansluten till ett eluttag där man inte av misstag kan rycka ur den. UPS för serverdatorer När man skall välja UPS för serverdatorer så skall man tänka på följande: - UPS:en skall ha tillräckligt stor kapacitet för att lämna ström till alla servrar som skall anslutas. - UPS:en skall ha tillräckligt lång batterikapacitet så att servrarna kan vara i gång så pass länge så att en kontrollerad avstängning kan ske innan batterierna är slut. - UPS:en skall kunna styra och kontrolleras av serverdatorn. Detta genom att man ansluter UPS:en till en serverdator via en serieport eller USB-port. I servern installerar man ett program som kan kommunicera med UPS:en. UPS för lagringsenheter och andra viktiga datorer Lagringsenheter, SAN och NAS skall också anslutas till en UPS. Annars kan hårddiskarna ta skada om strömmen försvinner okontrollerat. Enheten bör också kunna stängas av på kontrollerat sätt innan batterierna i UPS:en tar slut. Övriga datorer i nätverket som har en viktig funktion bör också anslutas till avbrottsfri kraft. Bärbara datorer har ju inbyggt batteri så de klarar sig bra. Dessa har ju också en inbyggd funktion som stänger av datorn eller försätter den i viloläge innan batterierna tar slut. Typer och modeller av UPS UPS finns i olika typer och modeller. För nätverksutrustning och skrivbordsdatorer kan man använda en typ som ser ut som en lite större grendosa. Fördelen med denna är att man kan ansluta datorn och annan utrustning med vanliga strömkontakter. Vissa av uttagen på denna typ av UPS brukar vara kopplade till batterierna för att leverera avbrottsfri kraft. Vissa av uttagen brukar vara enbart med överspänningsskydd för att undvika strömspikar och andra störningar på elnätet. Till servrar använder man större UPS:er med mer kapacitet. Dessa finns i huvudsak i två olika modeller. Dels modellen som man placerar på golv eller på en bänk, dels finns rackmonterade UPS:er. Dessutom kan man ha inbyggda batterier eller externa batterier. UPS:er för serverrum har oftast de utgående elanslutningarna på baksidan. Här har man oftast omvända anslutningskontakter med tre stift. De inbyggda batterierna kan kopplas ur med hjälp av en särskild kontakt. Detta gör man när UPS:en inte används eller transporteras. Dessutom brukar det finnas serieport och USB-port för styrning och övervakning. I riktigt stora serverrum brukar man ha fasta anslutningar med vanliga eluttag kopplade till avbrottsfri kraft. Då har man riktigt stora UPS:er med separata batterier. Tips från verkligheten... För extra säkerhet har man på större och viktigare serverdatorer ofta dubbla nätdelar. Då kan serverdatorn fungera även om elförsörjningen på den ena nätanslutningen försvinner eller om nätdelen går sönder. Då kan man med fördel ansluta de båda nätdelarna till var sin UPS. Fördelen med detta är att servern kan fortsätta fungera även om den ena UPS:en går sönder. Detta innebär också att man kan stänga av den ena UPS:en om man till exempel behöver byta batterier eller utföra service på den. Tänk också på att ansluta de olika UPS:erna till olika faser på elnätet ifall någon säkring skulle lösa ut. Praktiskt exempel - Konfiguration av UPS Vi skall nu ta ett praktiskt exempel på installation och konfiguration av en UPS ansluten till en Windows Server. Vi kommer använda oss av en UPS från APC. En av de ledande tillverkarna. Modellen vi har valt är Smart-UPS 1500. Vi börjar med att ansluta batterierna genom att sätta i den lösa trekantiga kontakten på baksidan. Därefter ansluter vi UPS:en till elnätet och slår på strömmen med hjälp av strömbrytaren på framsidan. Efter detta kan vi ansluta elen till vår serverdator. Vi ansluter även UPS:en till vår serverdator med hjälp av USB-kabel eller seriekabeln. Med APC:s UPS:er för serverdatorer medföljer programmet PowerShute Business Edition. Detta skall vi installera på servern för att dels kunna styra och kontrollera UPS:ens funktioner, dels för att UPS:en automatiskt skall kunna stänga av servern innan batterierna tar slut. Programmet har tre olika delar. Windows Agent skall installeras på alla servrar och datorer som är anslutna till UPS:en och som skall kunna stängas av centralt från UPS:en. Windows Server installeras på en dator eller server för att centralt kunna styra de andra datorerna med Windows Agent. Windows Console kan installeras på lokala datorer och används för att övervaka och styra UPS:ens funktioner och inställningarna på de anslutna datorerna. Vi kommer nu att installera alla dessa Windows Server, Windows Agent och Windows Console på vår serverdator. Vi börjar med Windows Agent. Programmet söker under installationen efter anslutna UPS:er. Vid installationen av Windows Agent får man ange ett användarnamn och lösenord som man sedar skall använda vid konfiguration av agenterna. Windows Firewall måste konfigureras för att tillåta styrning och kontroll vilket görs automatiskt om man svarar ja på frågan. Gå sedan vidare med installationen av Windows Server. När man har installerat Windows Agent och Windows Server så startar en guide där man får skapa en konfigurationsprofil. Först får man konfigurera Windows Agent. Efter detta får man konfigurera Windows Server. I denna lägger man till de UPS:er man skall kunna övervaka. Till sist installerar men Windows Console. Med denna kan man styra och övervaka alla funktioner hos UPS:en samt kontrollera agenterna hos de anslutna datorerna. Det första man bör göra efter installationen är att konfigurera UPS:ens utgångar, UPS Outlets. UPS:en har ju två rader med utgångar. Dessa kan man förslagsvis döpa till Outlet Group 1 respektive Outlet Group 2. Man konfigurerar UPS:en via ett webbgränssnitt. Man når detta genom att högerklicka på Hosten som hanterar UPS:en och välja Properties. Här kan man namnge de båda Outlet grupperna och ange vilken som är ansluten till Servern. Man kan också ange tiden som UPS:en skall vänta innan den stänger av de anslutna datorerna vid ett strömavbrott. Man kan också studera UPS:ens status, utgångarnas spänning, batteriernas status mm. Tips från verkligheten... Efter installation av en UPS och dess programvara måste du testa och se vad som händer när du bryter strömmen. Detta för att kontrollera att den anslutna serverdatorn stängs av på kontrollerat sätt, innan batterierna är slut. Gör nu övningarna i Arbetsboken till kapitel 17 18. Brandvägg Brandväggen är en mycket viktig funktion på nätverket. Det räcker inte med de inbyggda brandväggarna som finns i operativsystemet på datorer och servrar utan hela det lokala nätverket behöver ha en brandvägg vid anslutningen mot internet. Utan en brandvägg ligger det lokala nätverket öppet och är då mycket sårbart för attacker utifrån. Olika typer av brandväggar Det finns olika typer av brandväggar som har mer eller mindre avancerade funktioner. En mer avancerad brandvägg är oftast dyrare men har mer funktioner för att skydda det lokala nätverket mot intrång. Den kan också ha andra funktioner som gör det möjligt att till exempel använda fasta VPN-kopplingar (gås igenom nedan). En vanlig enkel Bredbandsrouter kan fungera som en brandvägg för hemmet och det mindre kontoret. Denna har de viktigaste funktionerna för att skydda mot intrång. Ibland finns denna i alltiett modeller med inbyggd switch och Accesspunkt för WLAN samt även bredbandsmodem för ADSL. Den enklare brandväggen har funktioner såsom: - - NAT (Network Adress Translation). Detta innebär att alla datorer på insidan av nätverket kommunicerar ut på internet via en och samma IP-adress. På det lokala nätverket har man IP-olika adresser till samtliga datorer men dessa kommer inte att vara synliga utåt. Här syns bara routerns externa adress. När sedan datapaket kommer in till routern så fördelar denna paketen till rätt mottagare på det lokala nätverket. Detta är den mest väsentliga funktionen hos en brandvägg/router. Paketfiltrering (Packet Filtering). Detta innebär att routern/brandväggen endast släpper igenom tillåtna datapaket. Vilka som skall tillåtas kan ofta konfigureras i brandväggen. Man kan tillåta/stoppa trafik avseende IP-adress, TCP-port eller Tjänst. Man kan till exempel i brandväggen öppna eller stoppa kommunikationen för ett visst program som kommunicerar via en specifik TCP-port, Öppna upp kommunikationen in till en viss dator på det lokala nätverket eller spärra en viss IP-adress. I tidigare kapitel har vi tagit upp exempel på hur man konfigurerar en Bredbandsrouter. En mer avancerad brandvägg har funktioner som gör den lämplig att använda på ett företag med flera användare. Denna har också alla de grundläggande funktionerna hos en brandvägg/router men har dessutom till exempel: - Möjlighet att skapa permanenta VPN-kopplingar mellan olika platser. Ett företag som har flera kontor kan via VPN-kopplingar kommunicera krypterat över internet. Då kan en användare på ett kontor komma åt servrar, skrivare och andra resurser på huvudkontoret och även tvärtom. - Innehållsfiltrering. Detta innebär att brandväggen kan öppna upp datapaketen och inspektera dem så att de inte innehåller skadlig kod. - Antivirusfunktion. En mer avancerad brandvägg kan ha inbyggd virusscanning så att kod innehållande datavirus inte kan ta sig in på det lokala nätverket. - Snabbare dataöverföring genom brandväggen. Tillverkare av mer avancerade brandväggar är till exempel WatchGuard, Cisco, Juniper, SonicWall, Zyxel och NetGear. På Datacenters och mycket stora företag behöver man ha brandväggar med mycket hög kapacitet och samtidigt mycket hög säkerhet. Du kan läsa mer om olika funktioner för Datasäkerhet i boken Nätverkssäkerhet. Praktiskt exempel - Konfiguration av Brandvägg Nu skall vi ta ett praktiskt exempel med konfiguration av en Brandvägg. Vi väljer brandväggen Cisco ASA 5505. En mycket vanlig produkt som används på många företag. Trots den lilla storleken har den många avancerade och bra funktioner. Här är utdrag ur databladet: Här är en text som beskriver Cisco ASA 5505 (hämtat från Dustin, www.dustin.se): "ASA 5505 ger dig en intelligent, lätthanterad och fullt integrerad säkerhetslösning med en avancerad brandvägg och möjligheten att bygga VPN mellan både kontor och för fjärranvändare (SSL VPN och IPsec VPN). Andra fördelar i den minsta modellen är åtta integrerade switchportar (.1q) med möjlighet till Power over Ethernet, ISP failover m.m. Dessutom är ASA 5505 en modulär lösning där funktionalitet kan utökas i framtiden. Allt detta i en och samma låda. ” Installation och konfiguration Cisco:s brandväggar kan konfigureras på två sätt. Antingen via en konsol-anslutning, Console-port, då den medföljande kabeln ansluts till datorns serieport. Då får man konfigurera routern via ett terminalprogram med hjälp av textkommandon. Ett annat, lite enklare, sätt att konfigurera är via en nätverksanslutning då routern och datorn kopplas ihop med nätverkskablar i samma nätverk. Man konfigurerar då via Webbläsare där Ciscos Javabaserade gränssnitt ASDM, Adaptive Security Device Manager, används. Då har Cisco ASA 5505 IP-adressen 192.168.1.1 som standard. OBS! Denna är endast åtkomlig via https. Vi väljer nätverksanslutning och öppnar därför en webbläsare med adressen https://192.168.1.1 Eftersom denna webbplats inte har godkänts med ett certifikat får vi som vanligt denna fråga. Välj att fortsätta till webbplatsen. Nu öppnas ett fönster där vi ombeds att installera Ciscos system för administration av Routrar, Adaptive Security Device Manager, ASDM. Man kan göra detta på två sätt, antingen via en lokalt installerad applikation eller genom att använda ett webbgränssnitt med Java. Vi väljer att installera den lokala Applikationen, ASDM Launcher. OBS! I vårt exempel härifrån och framåt har Routern IP-adressen 192.168.96.1. När en ny Cisco ASA 5505 skall konfigureras så har den alltid 192.168.1.1. Vi följer guiden och installerar ASDM IDM Launcher. Sedan startar applikationen automatiskt. Gränssnittet för ASDM har en mängd funktioner för konfiguration, övervakning och styrning av brandväggen. Föst visas ett statusfönster för själva enheten. Man kan även se status för brandväggsfunktionerna. Utseendet är förvillande likt det som PfSense och OPNSense använder. För att konfigurera enheten klickar man på Configuration uppe till höger. Här kan man ta hjälp av en guide vilket vi gör. Man kan antingen modifiera en ev. konfiguration eller redan existerande utgå från fabriksinställningarna. Man anger också vilken nätverksadress man skall använda. I nästa steg anger man hostnamnet (= namnet på routern/brandväggen i nätverket) samt domännamnet på den Windowsdomän där man skall använda enheten. Man kan här också byta lösenordet som behövs för att administrera via kommandointerface. I tredje steget skapar man de olika Virtuella nätverken, VLAN som kommer att användas av nätverksportarna på enheten. En typisk konfiguration är att ha två VLAN, Insida och Utsida. Nästa steg blir att ange vilka av de 8 nätverksportarna som skall tillhöra respektive Virtuella nätverk, VLAN. Vi väljer en port för det externa nätverket, (Port 0), och att de övriga sju skall tillhöra det interna. Sedan anger man IP-adresser för de båda VLAN:en. Vi sätter fast IP-adress för enheten på det interna nätverket och väljer att ha dynamiskt tilldelad IPadress på det externa. Tanken är att routern skall kopplas till ett bredbandsmodem för ADSL. Beroende på ADSLoperatörens inställningar så får man antingen en fast IP-adress eller en dynamiskt tilldelad. Om man erhållit en fast IP-adress så anger man i stället denna för porten på det externa nätverket. Därefter får man möjlighet att konfigurera automatisk utdelning av IP-adresser på det interna nätverket, via DHCP. Ofta väljer man i mindre nätverk att låta routern agera DHCP-server. I större nätverk låter man istället en Windowsserver agera DHCP-server. Då kan man integrera DHCP med Activce Directory. I nästa steg får man möjlighet att konfigurera NAT. Därefter anger man från vilka IP-nät som man skall kunna starta ASDM och kunna konfigurera routern. Till sist visas en sammanställning och konfigurationen är därefter färdig. Klicka på Finish för att skicka den nya konfigurationen till Routern. Routern har sedan en mängd olika funktioner för styrning och övervakning samt många inställningar för säkerhet. I boken Nätverkssäkerhet går vi igenom flera olika säkerhetsfunktioner för brandväggar och routrar. Gör nu övningarna i Arbetsboken till kapitel 18 19. SERVERDATORN Olika lagringslösningar Det finns flera olika alternativa lösningar för central lagring av filer. - Traditionell lösning med serverdator med hårddiskar monterade i servern. Detta kommer vi att gå igenom i detta kapitel - Lagring av filer i ett Storage Attached Network, SAN. Ett SAN består av en särskild serverenhet med plats för många hårddiskar. Dessa används ofta på medelstora och större företag och på datacenter. Det finns SAN med plats för flera hundra hårddiskar. Läs mer er om SAN nedan. - NAS, Network Attached Storage. Detta brukar vara en fristående mindre datorenhet vars enda uppgift är att erbjuda en central lagring på nätverket. I en NAS finns oftast ett specialanpassat operativsystem. Windows Server används alltså inte i denna. NAS används mestadels på mycket små företag samt i hemmen. - Lagring i molnet. Lagring i det s.k. Molnet (en plats någonstans som är kopplat till internet) blir allt mer populärt. De mest använda tjänsterna för detta är Dropbox och Microsoft SkyDrive. Båda dessa finns i gratisversioner där alla kan få tillgång ett begränsat lagringsutrymme helt gratis. Det finns även betalversioner av dessa som kan användas av företag och av den som har större utrymmesbehov. Du kan läsa mer om molnlösningar längre fram i denna bok, i kapitel 15. Mer om SAN, Storage Area Network Ett SAN används ofta när man har ett stort antal fysiska serverdatorer. Istället för att behöva utrusta var och en med flera hårddiskar för datalagring så kopplar man serverdatorerna mot ett gemensamt SAN. Varje serverdator tilldelas då en viss bestämd lagringsarea från SAN:et som reserveras just för denna server. Om man har behov är det senare väldigt enkelt att öka tilldelad area för en server. Ett SAN ansluts mot varje serverdator med hjälp av Fiber-Channel eller iSCSI. Fiber-Channel använder fiberoptiska kablar mellan SAN:et och de anslutna serverdatorerna som då behöver utrustas med särskilda Fiber-Channel kort. iSCSI använder vanligt nätverk (Gigabit) för anslutningen. Använd helst separata switchar för kopplingen mot serverdatorerna för att få bästa prestanda. När man skall säkerhetskopiera filer lagrade på ett SAN så kan detta även göras direkt från SAN:et till en bandstation vilket sparar kraft från varje ansluten server. En annan fördel med en SAN-lösning är att man enklare kan bygga redundanta system, alltså system där man genom att dubblera viktiga funktioner kan öka driftsäkerheten. Tack vare att man kan ansluta flera serverdatorer till samma SAN så kan man då i reserv ha en extra serverdator inkopplad, beredd att ta över om den normala serverdatorn kraschar. Eftersom alla användarnas filer och gemensamma program och databaser ligger lagrade på SAN:et så kan servern i reserv enkelt ta över dessa vid en eventuell serverkrasch. Användarna kan då fortsätta att jobba och de märker inte någon skillnad. Viktigt i detta fall är att själva SAN:et är driftsäkert för om detta slutar fungera så stannar alla servrarna. Av denna anledning så brukar man ha dubbla nätaggregat, dubbla nätverkskort och RAIDsystem med någon forma av spegling mellan hårddiskarna. Vi skall dock först koncentrera oss på den traditionella lösningen med en serverdator och funktioner i Windows Server för filserverfunktionen. För att möjliggöra dessa funktioner behövs: - Lämplig hårdvara, serverdator med plats för många hårddiskar eventuellt kompletterad med extra diskkabinett. - Windows Server 2022 där man har ett flertal funktioner för att hantera filserverrollen och lagring av filer. Vi börjar med att titta på lämplig maskinvara. Den fysiska serverdatorn På ett litet företag med bara några enstaka användare räcker det oftast men en vanlig enkel serverdator. Förutsatt att denna har plats för tillräckligt många hårddiskar för att få plats att lagra den önskade datamängden. Tänk på att lagringsbehovet av data ofta ökar snabbt. Undersökningar som gjorts visar att lagringsbehovet för en typisk datoranvändare dubbleras på två-tre år. En serverdator kan ha plats för ett flertal hårddiskar, till exempel denna från HP som har 8 platser vilka samtliga är lätt åtkomliga från fronten: En serverdator är i grund och botten en vanlig persondator som är optimerad för att fungera som en server i ett nätverk eller mot internet. Dock har man oftast i denna byggt in fler funktioner för övervakning, administration och hantering. Man väljer oftast en snabb processor, ibland även flera parallellt arbetande processorer. Man har plats för mycket internminne och oftast plats för ett flertal hårddiskar. Eftersom serverdatorn är optimerad för maximal prestanda har man prioriterat kylning framför ljudnivå och har kraftigare fläktar. Därför låter en serverdator betydligt mer än en vanlig PC. Man placerar ju dessutom servern som regel i ett Serverrum med kylning. Oftast använder man i en serverdator ett flerdisksystem, RAID, med vilket man i systemet kopplar ihop flera diskar så att de tillsammans fungerar som en enda stor disk. Genom detta kan man både erhålla högre driftsäkerhet och snabbar läsning och skrivning av data. Vissa modeller av serverdatorer har dessutom flera nätverkskort och/eller dubbla nätaggregat. Allt för att garantera en hög driftsäkerhet. Olika krav gäller beroende på vad serverdatorn skall användas till. En filserver har inte lika stort behov av en snabb processor eller mycket internminne. Det viktigaste är snabb dataaccess mot nätverket och mot hårddiskarna. Samt att man använder snabba och pålitliga hårddiskar. En terminalserver som hanterar program från många samtidiga användare har istället höga krav på processor och minne men mindre krav på diskarna. I ett senare kapitel skall vi gå djupare in på optimering av serverns prestanda. Eftersom man ofta placerar serverdatorerna i serverrum och datahallar så är modeller avsedda att monteras i 19" Rack vanliga. Det finns dock servar av vanlig "Tower"-modell, främst bland de lite enklare modellerna. Val av hårddiskar Tidigare (före 2010) användes oftast hårddiskar med SCSI-anslutning i serverdatorer. Fördelen med dessa jämfört med IDE-diskar var att de var betydligt snabbare och att man enklare kunde ansluta ett flertal hårddiskar till samma controller. I vanliga datorer använder man i nuläget oftast hårddiskar med S-ATA, Serial ATA-anslutning. I serverdatorer används idag oftast hårddiskar med SAS, Serial Attached SCSI-gränssnitt. Skillnaden mellan dessa och de billigare diskarna med S-ATA-gränssnitt är att SAS-diskarna är betydligt snabbare. Detta främst tack vare att själva gränssnittet är snabbare men också hur snabb själva hårddisken är. SAS-gränssnittet har en högsta överföringshastighet på 6 Gbit/s, samma som S-ATA III. I vissa extrema fall kan man även använda SSD, Solid State Diskar som är helt och hållet uppbyggda av minneschip. Dessa är de absolut snabbaste. Man kan även i en Serverdator kombinera olika disktyper. Exempelvis så kan man ha SAS-hårddiskar för de volymer som utnyttjas av operativsystemet och där läsning och skrivning sker ofta. För partitioner som mer sällan används, till exempel datalagring av filer i ett arkiv, kan man använda de billigare S-ATA-diskarna. För läscache i en SAN-lösning kan man använda SSD-disk. Den faktor som mest avgör hur snabb en hårddisk arbetar är dess Rotationshastighet. Man mäter denna i varv/sek. Äldre diskar kunde ha 5400 varv/s eller som bäst 7200 varv/s. Idag har en S-ATA disk vanligen 7200 varv/s eller 10.000 varv/s. En SAS-hårddisk har vanligen 7200, 10.000 eller 15.700 varv/s. SAS-hårddiskar har vanligtvis storleken 2,5" medan S-ATA finns i både 2,5" och 3,5". Minnen till en serverdator I en serverdator används oftast minnen av typen RDIMM. Skillnaden mellan dessa och vanliga typer av DIMM-minnen (DDR) är att RDIMM har ett inbyggt register mellan själva minneschipen och minneskontrollern. Detta register gör att minnena blir stabilare och att processorn kan hantera större mängder minne jämfört med en vanlig PC. Dessutom har de oftast inbyggd felkontroll (ECC). Övervaknings- och hanteringsfunktioner i en serverdator En serverdator brukar ha ett flertal inbyggda funktioner för administration och övervakning. Eftersom driftsäkerheten på en server är mycket viktig så finns t.ex. funktioner som automatiskt reglerar fläktarna så att optimal kylning erhålls. Temperaturen mäts och ett larm kan genereras om temperaturen blir för hög. Likaså finns funktioner som håller koll på maskinvarans status och dess funktion. Oftast finns även programvara för att på distans (remote) hantera alla dessa funktioner. Det kan ju vara opraktiskt att behöva sitta bredvid servern i serverrummet för att göra detta. Konfiguration av en serverdator Första gången man startar upp en ny serverdator skall man konfigurera maskinvaran och göra de grundläggande inställningarna. Vissa av dessa inställningar kan man göra i datorns BIOS på liknande sätt som i en vanlig dator. Många av inställningar gör man dock i ett särskilt administrationsprogram som ingår till servern. Det gäller bland annat konfiguration av diskar och RAID-system. Ofta medföljer en CD-skiva med detta konfigurationsprogram, ibland är dock programmet från start inlagt i serverns BIOS. För att slippa befinna sig fysiskt vid servern, i serverrummet, så utnyttjar man många gånger möjligheten att konfigurera och administrera den på distans. Denna möjlighet finns på de flesta servrar. Och det gäller alltså inte bara via fjärrskrivbord i Windows Server, utan man kan även komma åt konsolen på själva servern. Alltså konfigurationen som görs innan Windows startar och innan man ens har installerat något operativsystem. På en HP-server kallas detta iLO. Med hjälp av detta kan man ansluta mot en server via webbläsare på valfri dator. I det kommande praktiska exemplet skall vi titta lite närmare på detta. Konfiguration av serverdator - praktiskt exempel Vi skall nu ta ett praktiskt exempel över konfiguration av en Serverdator. Vi kommer i detta exempel gå igenom alla steg fram till installation av operativsystemet. Serverdator Vi kommer att använda oss av servern HP Proliant ML350p G8. Detta är 8:e generationen av denna populära och mycket ofta använda servern från HP. Nedan följer lite utdrag ur tekniska specifikationer och datablad. Vi skall nu gå igenom stegen som behövs för att konfigurera servern. Montera servern Vi börjar med att montera komponenterna i servern. Vi tar hjälp av skissen i databladet (finns på förra sidan). De komponenter vi skall monter är dessa: 4 st minnesmoduler, RDIMM 240 pin 4GB 6 st hårddiskar, 300 GB 10K SAS. Vi kommer att med hjälp av dessa senare skapa två olika logiska partitioner. En RAID1 med två diskar. På denna kommer vi att installera serverns operativsystem. Av övriga fyra diskar kommer vi att skapa en RAID10. Denna kommer att ha plats för att lagra filer och data. 1 st Cache-minnesmodul OBS! Tänk på att använda ESD-skydd när du hanterar elektronikkomponenter. Använd t.ex. en antistatmatta som underlag när du arbetar samt ett antistatarmband. Arbeta alltid strömlöst. Dra ur samtliga strömkablar så att du inte riskerar att kortsluta några komponenter. Monteringsanvisning finns även på insidan av locket till servern. Det är viktigt att placera minnesmodulerna i dess rätta platser. Totalt finns 24 minnesplatser. På insidan av locket finns beskrivet i vilken ordning dessa skall utnyttjas. Även montering av expansionskort, PICe, skall göras i en viss ordning. När komponenterna är monterade så kan vi ansluta kablarna på baksidan. Servern har USB-ingångar dit vi ansluter tangentbord och mus. Bildskärmen ansluts med VGA-kontakt. Servern har dubbla nätaggregat. Vi ansluter strömkabel till båda. Dessa kan även buntas fast med buntband så att man inte riskerar att av misstag dra ut en kabel. Servern har 4 st vanliga nätverksuttag samt ett nätverksuttag för ILO. Vi börjar med att ansluta iLO. Starta i gång servern Nu kan vi ansluta spänning och starta servern. När servern startar visas diagnostik på skärmen. Denna sker i två steg. Först datorns grund-BIOS, sedan HP:s grundkonfiguration. I Grundkonfigurationen kan man göra inställningar för iLO. ILO är en funktion som gör det möjligt att i webbläsaren på en annan dator göra inställningar i serverns grundkonfiguration. För detta ändamål finns en särskild nätverksanslutning på servern. Genom att ge denna en IP-adress i företagets nätverk så kan man komma åt och köra iLO på en valfri dator i nätverket, eller på distans via VPN. Använda iLO För att kunna använda iLO skall vi konfigurera inställningarna för detta. Man anger önskad IP-adress samt lägger upp en användare i BIOS-inställningarna för iLO. Det finns även en standardanvändare upplagd i iLO. Namn och lösenord finns oftast på en etikett på själva servern. Resterande konfiguration kan vi från och med nu göra från en annan dator. På datorn startar man en webbläsare och går till IP-adressen för iLO. Använd https: och logga in med användarnamn och lösenord. Under Information - Overview visas en samlad information. Under System Information kan man se status för en mängd olika funktioner i servern. Vi kommer in att ta upp alla i detta läge. Mer om konfiguration av maskinvaran i en server kommer vi ta upp i boken Administration av nätverks- och serverutrustning. Under Remote Console kan man få tillgång till serverns konsol, Alltså serverns bildskärm, tangentbord och mus. Det finns flera sätt att starta denna. Vi väljer Integrated Remote Console. Man klickar med musen i fönstret för att använda detta med datorns mus och tangentbord. I menyerna överst finns kommandon för att styra strömknappen och starta om servern. Man kan också styra specialfunktioner på tangentbordet. Dessutom kan man virtuellt koppla upp enheter i den lokala datorn för att t.ex. komma åt installationsmedia och nerladdade drivrutiner. Konfigurera RAID Nu skall vi konfigurera RAID-systemet och skapa partitioner på serverns hårddiskar. På vår serverdator har vi installerat 6 likadana hårddiskar. Av dessa skall skapa en RAID1 med två diskar för serverns operativsystem samt en RAID10 med fyra diskar för filer, data och virtuella maskiner. Vi använder iLO och öppnar ett konsol-fönster. Här trycker vi F10 för att starta konfigurationsprogrammet. 193 Vi klickar på Configure and Install. Vi väljer Customize under Array Configuration. Klicka sedan på pilen längst ner till höger. Första steget är att välja RAID-kort. I vår server finns det inbyggda P420i. Vi markerar Smart Array, som finns på servern. Därefter klickar vi på Create Array. Här väljer vi två diskar (som vi kommer att skapa en RAID1 av snart). Klicka på Create Logical Drive för att skapa en logisk disk av dessa. Välj RAID1 och storlek (full storlek). Vi erhåller ca 280 GB vilket motsvarar en disk. Klicka på Save. Nu går vi vidare med de andra fyra diskarna. Av dessa skall vi skapa en RADI10. Välj att skapa en RAID10 av dessa. Full storlek innebär 558 GB vilket motsvarar två diskar. Klicka Save. Nu är vi klara med konfigurationen av RAID. Klicka på Exit ACU. Installera operativsystemet Nästa steg blir att installera operativsystemet i servern. Guiden hjälper oss med detta. Välj operativsystemsfamilj, typ av installation och vilket media du använder. Vi väljer Custimized och Disc. Nu får vi välja operativsystem, språk, partitionsstorlek, serverns namn, tidszon, Product Key och lösenord till administratörskontot. Ange om du vill installera några protokoll för Management. En sammanfattning av informationen visas. När du går till nästa steg kommer installationen att starta och genomföras automatiskt utan att du behöver bevaka eller ange mer information. Installationen startar. Nu installeras Windows Server. Hur detta går till har vi redan gått igenom i tidigare kapitel. När Windows väl är installerat så kan inte längre standardversionen av ILO användas. Istället behövs iLO Advanced om man vill komma åt serverns konsol. Men man kan ju istället ansluta mot servern med Fjärrskrivbord i Windows. När installationen av Windows Server är klar så startas automatiskt en installation av alla de drivrutiner som behövs för servern. Dessa behövs ju för att nätverkskort, portar och annan hårdvara i servern skall kunna användas. Detta görs helt automatiskt och kräver ingen anslutning till internet. Server kommer att startas om automatiskt flera gånger under installationen. När allt är klart så har vi en serverdator som är färdig att börja användas. Gör nu övningarna i Arbetsboken till kapitel 19 20. CENTRAL ADMINISTRATION AV SERVRAR OCH NÄTVERK När man som tekniker arbetar med administration och övervakning av många olika serverdatorer och olika utrustningar kopplade till nätverk så finns det speciella program och verktyg som man kan använda. Program för uppkoppling via fjärrskrivbord När man skall administrera och övervaka serverdatorer med Windows Server så ansluter man ju oftast via en fjärrskrivbordsanslutning, Remote Desktop. I stället för att lägga upp en mängd Fjärrskrivbordsgenvägar på skrivbordet så kan man använda ett särskilt program för att ansluta och där man kan spara de olika anslutningarna. Programmet mRemoteNG är ett exempel på detta. I programmet mRemoteNG kan man samtidigt öppna flera fjärrskrivbord i olika flikar eller i separata fönster. Man kan spara de olika anslutningarna med dess Hostname eller IP-adress, användarnamn och lösenord. Man kan organisera de sparade anslutningarna i olika mappar och det finns ett antal andra funktioner som kan vara användbara. T.ex. att ta skärmdumpar. mRemoteNG är ett Open Source-program vilket innebär att det är skapad med öppen källkod och att det är gratis att ladda hem. mRemoteNG har stöd för många olika typer av anslutningar, förutom vanlig fjärrskrivbordsanslutning, RDP. Detta innebär att man kan använda mRemoteNG för att administrera i stort sett alla datorer, servrar, skrivare, skrivare samt all nätverksutrustning som man kan nå via nätverket. Program för centraliserad övervakning När man som tekniker skall övervaka ett eller flera nätverk och alla dess funktioner så kan man ha stor hjälp av att använda någon särskild programvara för detta. Ett sådant program kan t.ex. ha dessa funktioner: • Inhämta viktig information från de olika enheternal • Välja ut viktig data • Presentera viktig data • Skicka ut larm om någon allvarlig händelse sker • Spara logdata i en loggbok för att senare kunna analyseras Ett exempel på program för detta ändamål är GFI Events Manager, inte Share/Free-ware! Detta program samlar händelser och varningar från olika servrar och annan utrustning och presenterar dem på ett överskådligt och bra sätt. Programmet kan konfigureras att samla in data från många servrar och enheter såsom Windows Server, UNIX Server, Cisco nätversutrustning och även vanliga datorer, stationära och bärbara. Läs mer om GFI Events Manager på www.gfi.com Tips från verkligheten... Särskilt viktigt är att hämta in händelser avseende driftstatus för servrar som kör affärskritiska applikationer. En sådan sak som att ledigt utrymme på en servers hårddisk nästan är slut kan leda till att servern inte kan arbeta längre. Detta är en sak som man definitivt skall övervaka så att man får en varning i god tid. Samma sak gäller om den dagliga säkerhetskopieringen inte kunnat utföras eller om en hårddisk i ett RAID-system slutat fungera. Gör nu övningarna i Arbetsboken till kapitel 20 21. NAS NAS betyder Network Attached Storage. Alltså en nätverksansluten lagringsenhet. Vanligtvis är detta en fristående mindre enhet med plats för ett antal hårddiskar. Den har också ett eget inbyggt operativsystem och ett webbaserat administrationsgränssnitt. Man kan använda en NAS som ett alternativ till en vanlig Serverdator för att agera filserver i ett nätverk. På mindre företag samt i hemmen är det många gånger bättre med en NAS än en vanlig filserver. Man kan med fördel ha en NAS hemma för att lagra familjens digitalfoton och filmer samt som säkerhetskopiering av bokföring och dokument. Många NAS har trådlös nätverksanslutning så dessa kan man placera var som helst i huset där man har ett eluttag. OBS! Använd gärna en UPS eller ett åskskydd för att skydda NAS:en mot överspänningar vid åska. Filerna på NAS.en nås enkelt via det lokala nätverket eftersom mapparna fungerar som vanliga utdelade nätverksmappar. Man kan även komma åt NAS:en via FTP och då även via en internetanslutning från en annan plats. Detta kräver dock att man konfigurerar brandväggen så att rätt port i öppnas och kopplas mot NAS:en i nätverket. Företaget QNAP är en av de ledande tillverkarna av produkter för nätverkslagring. De har specialiserat sig på produkter för hem och mindre företag, SoHo, Small Office and Home. QNAP har många modeller av NAS. Här är några av dem. Läs mer om olika modeller av NAS genom att söka på nätet samt gå in på QNAPS:s hemsida. Praktiskt exempel - Konfiguration av NAS Vi skall nu ta ett praktiskt exempel och konfigurera en NAS. Vi väljer produkten QNAP TS-412 Enheten har plats för 4 st hårddiskar internt. Dessa kan sammankopplas i en RAID-konfiguration. Flera olika typer av RAID stöds. Diskarna är utbytbara under drift, s.k. Hot-Swap. Detta kräver givetvis att den aktuella RAID-konfigurationen stöder att man tar ut en disk under drift. Annars förloras datan. Man kan även ansluta externa diskar via de två eSATA-kontakterna baktill. Dessutom finns USB-uttag där man också kan ansluta lagringsenheter. Enheten har två oberoende nätverksportar. Man kan alltså ansluta enheten mot två separata nätverk samtidigt. Maximal lagringskapacitet är 12 TB. För att administrera QNAP:en använder man det inbyggda web-gränssnittet. Detta kommer man åt genom att surfa in på enhetens IP-adress. När enheten ansluts till nätverket erhåller den oftast en automatisk IP-adress. För att lokalisera QNAP-enheter i det lokala nätverket kan man använda programmet Qfinder. Detta kan man ladda hem från QNAP:s hemsida. När man startar QFinder så söks nätverket igenom efter anslutna QNAP-enheter. Dessa visas sedan i fönstret med dess IP-adresser. Från QFinder kan man sedan administrera sina QNAP-enheter, ladda upp foton med mera. Från QFinder, eller genom att öppna en webbläsare och surfa in på enhetens IP-adress så kommer man åt att administrera den. För att logga in anger man användarnamn och lösenord. Se tillverkarens manual för att ta reda på vad detta är första gången du skall logga in på en ny enhet. Administrationsgränssnittet har ett app-liknande utseende. För att göra inställningar går man in på Kontrollpanelen. Systeminställningar Under Allmänna inställningar anger man enhetens Namn (Kalle-lagring) och dess Systemport(8080). Under Lagringshanteraren hanterar man enhetens diskar och volymer. Här kan man konfigurera de inkopplade Fysiska hårddiskarna i en eller flera Logiska volymer. Man kan även välja vilken typ av RAID-konfiguration man vill ha. Hårddisk SMART (akronym för Self-Monitoring Analysis and Reporting Technology) är ett mycket bra kontrollverktyg för att se status på de fysiska diskarna. Under Nätverk anger man de båda nätverksportarnas IP-adresser, Subnetmask, Gateway och DNS. Man kan även koppla på Port Trunking vilket innebär att de båda nätversportarna kan arbeta tillsammans i samma nätverk. Då kan man antingen välja att låta dem arbeta parallellt för att dubblera överföringshastigheten eller låta en av dem vara backup och ständigt stå i beredskap ifall nätverksförbindelsen på den första bryts. Man kan då förslagsvis koppla de båda portarna på QNAP:en till två olika switchar på nätverket. Då får man redundans och nätverksförbindelsen till QNAP:en kommer att fungera även om den ena av switcharna går sönder. Under Tjänstebindning kan man specificera vilka av QNAP.ens tjänster som skall nås via respektive nätverksport. Som standard når man alla tjänsterna från båda portarna. Man kan till exempel välja att ha ena nätverksporten kopplad utåt mot internet och där enbart publicera Webbserver-tjänsten medan man internt mot det lokala nätverket publicerar alla tjänsterna. Vidare kan man under Kontrollpanelen också göra inställningar för Säkerhet (Blockera specifika IPadresser från åtkomst), Hårdvara (Styra vänteläge och larm), Ström (ange om enheten automatiskt skall starta upp efter strömbortfall), Notifiering (Skicka larm till SMS och e-post), Uppdatering av enhetens BIOS samt konfigurera Externa enheter. Under Systemstatus kan man få en mängd information om enhetens status. Privilegieinställningar Under Privilegieinställningar hanterar man Användare, Grupper och behörighet till Delade mappar. Admin är det inbyggda användarkontot för administratören. Man kan också skapa en eller flera lokala användare. Man kan också skapa olika Användargrupper som man därefter kan lägga in användarna i. Under Delade mappar kan man dela och ange behörigheter till de delade mapparna på enheten. Under Kvot kan man begränsa det tillåtna lagringsutrymmet för respektive användare. Under Domänsäkerhet kan man ansluta QNAP-enheten till ett Domännätverk och på så sätt kunna ange behörigheter för användarkonton från domänen. Nätverkstjänster Under Nätverkstjänster anger man vilka nätverkstjänster som QNAP:en skall hantera. Enheten kan anslutas mot Microsoft Windows-nätverk (med eller utan Domän), Apple-nätverk eller NFStjänstenätverk. Dessutom kan enheten ansluta med FTP, Telnet/SSH och SNMP. Med funktionen Qsync kan man synkronisera mappar och filer från QNAP-enheten till olika datorer och enheter. Man kan genom detta göra filer, foton och dokument åtkomliga från flera datorer, läsplattor och mobiltelefoner, även då dessa är i offline-läge. Synkroniseringen sker sedan automatiskt när enheten är uppkopplad igen. Synkronisering kan även göras över internet med QnapCloud. Applikationsserver Under Applikationsserver kan man konfigurera ett flertal olika servertjänster som kan köras på QNAP-enheten. Läs mer... Läs gärna mer om QNAP på www.gnap.com Ta reda på mer fakta och läs om senaste nyheter och funktioner. Gör nu övningarna i Arbetsboken till kapitel 21 DEL 4-ADMINISTRATION AV FUNKTIONER I WINDOWS SERVER 2022 I denna del skall vi gå igenom de funktioner i Windows Server 2022 som omfattas av kursplanen för Nätverksteknologier. I denna del skall vi beröra följande punkter i kursplanen: • Administration av användarrättigheter. • Övervakning och styrning av rättigheter vid utdelning av nätverksåtkomst. Vi kommer gå igenom följande funktioner i Windows Server 2022: • Diskhantering • Administration av Filservertjänsten • Nätverksinställningar • DNS • DHCP • Hyper-V • Remote Desktop 22. DISKHANTERING I WINDOWS SERVER I detta kapitel skall vi gå igenom hur man konfigurerar hårddiskar och olika disksystem i Windows Server 2022. Vi börjar dock med en genomgång av de filsystem som stöds. Filsystem Filsystem är det system utefter vilket man organiserar filer i partitionerna på hårddiskar (och även på flyttbara diskar). Windows 2022 stöder ett flertal filsystem. Det stöder FAT, FAT32, NTFS, ReFS, CDFS och UDF. FAT File Allocation Table, har funnits i många år. Det härstammar från MS-DOS och är det enda filsystem för hårddiskar som kan användas av MS-DOS. Det samma gäller även för Windows 95, i versioner före OSR2. FAT stöds av alla versioner av Windows (Windows 3.1, 95, 98, Me) och Windows NT (Windows NT 3.51, 4.0, 2000, XP, 2003, 2008, 2022). FAT är det enda filsystemet som kan användas på disketter. Vanliga FAT kallas också för FAT16 och är ett 16-bitars filsystem. Alla adresser till mappar och filer lagras i FAT (Filallokeringstabellen), som lagras på diskens första spår. En FAT partition i MS-DOS och Windows 3.1-98 kan vara maximalt 2.1 GB. I Windows 2000/2003/2008/2022 och NT 4.0 kan man dock ha en FAT partition på upp till 4 GB. Denna blir då inte är åtkomlig från de andra versionerna av Windows operativsystem. FAT stöder inget säkerhet på fil- eller katalognivå. Filer lagrade i FAT kan endast skyddas mot åtkomst över nätverket och inte för lokala användare. FAT stöder långa filnamn på upp till 255 tecken. FAT32 FAT32 kom med Windows 95B, även kallad OSF AT32 stöds av Windows 95 från och med OSR2 och Windows 98, Me samt av Windows 2000, 2003, 2008 & 2022. FAT32 är ett 32 bitars filsystem. Det är betydligt snabbare än FAT (FAT16). Maximala storleken på en volym i FAT32 är 2 TB. Det går dock inte att skapa större partitioner än 32 GB i Windows 2008. FAT32 stöder ingen säkerhet på fil- eller katalognivå. Filer lagrade i FAT32 kan endast skyddas mot åtkomst över nätverket och inte för lokala användare. FAT32 stöder långa filnamn på upp till 255 tecken. NTFS NTFS, NT File System, är konstruerat speciellt för användning med Microsoft Windows NT4/2000/2003/2008/2022. Läsning och skrivning mot disken övervakas ständigt av Systemet. Om sektorer på hårddisken skadas flyttas data automatiskt till en oskadad del av disken. Allokeringsinformationen med alla adresser till filer och kataloger skapas på nytt varje gång operativsystemet startas, och kommer därigenom inte att lagras på samma ställe på disken, därmed minskar risken för haveri. NTFS stöds av Windows NT 3.51, 4.0 och Windows 2000/2003/2008/2022. Maximal storlek på en NTFS volym är 16 Exabyte (16 miljarder GB). NTFS stöder långa filnamn på upp till 255 tecken. Följande tecken kan inte användas i filnamn:\/*;?<> " | Andra funktioner i NTFS är följande: • NTFS förhindrar i hög grad fragmentering av filer. • Med NTFS kan man komprimera filer individuellt till 40-50 % av sin ursprungliga storlek. • Med NTFS kan man kryptera filer med EFS, Encrypting File System • Med NTFS kan man använda Disk Quotas vilket gör att man kan begränsa diskutrymmet som får användas av olika användare i den aktuella volymen. • Med NTFS kan man Mounta (Mount) en volym som en katalog i en annan volym. En katalog (och innehållet i den) kan alltså egentligen ligga på en helt annan hårddisk men ändå tillhöra volymen den syns i. ReFS ReFS, Resilient File System, är det nya filsystemet som introducerades med Windows Server 2022. Det har flera förbättringar jämfört med NTFS. • Klarar betydligt mycket större volymer, större filstorlek och fler filer/mappar. • Inbyggd felkontroll av lagrade filer. Man behöver inte längre köra CHKDSK-kommandot. ReFS klarar dock (ännu) inte att använda som Systempartition, filkomprimering, EFS och Qoutas. CDFS CDFS, Compact Disk File System, används endast för CD-ROM. UDF UDF, Universal Disk Format, används endast av DVD. Konvertering mellan filsystem Windows 2022 erbjuder möjlighet att konvertera en volym från FAT (FAT16 eller FAT32) till NTFS (dock ej åt motsatt håll). För att konvertera från FAT eller FAT32 till NTFS så körs programmet CONVERT.EXE. Detta måste köras i kommandotolken CMD. Kommandot är CONVERT D: /FS: NTFS Partitioner och Volymer Ibland säger man Partition och ibland Volym men vad är skillnaden? Normalt är det samma sak och betecknar en allokerad del av en hårddisk vilken man kan partitionera med valfritt filsystem och därefter använda för lagring av filer. Man kan dock med vissa funktioner i Windows 2022 skapa disksystem som till exempel Spanned Volumes, Stripe Set och RAID5 Volymer. I dessa kombinerar man flera Partitioner till att bli en Volym. För att kunna skapa dessa så krävs att hårddisken, eller hårddiskarna, är konfigurerade som dynamiska diskar. Läs om dynamiska diskar längre fram i detta kapitel. Man kan alltså säga generellt att en Volym kan bestå av en eller flera Partitioner. En volym betecknas med en enhetsbokstav, C:, D: osv. På hårddiskar konfigurerade som Standard Diskar kan två typer av partitioner förekomma, Primära Partitioner och Utökade Partitioner. Primär partition En hårddisk i MS-DOS och Windows 3.1-98 kan innehålla max två primära partitioner eller en primär partition och en utökad. I Windows NT 4.0 och Server 2000/2003/2008/2012/2016/2022 kan man ha upp till fyra primära partitioner eller tre primära och en utökad. På den första hårddisken anger man en av de primära partitionerna som Aktiv. Detta innebär att det är på denna partition som datorn bootar på när man startar om den. På denna partition skall man alltså ha sina startfiler. (Oftast C:). På Dynamiska Diskar är alltid den första Volymen Aktiv. Utökad partition En utökad partition kan innehålla en eller flera logiska enheter. Dessa uppträder på samma sätt som vanliga partitioner i operativsystemet. De har enhetsbokstäver D: E: osv. och man kan formatera dem i valfritt filsystem. En logisk enhet i en utökad partition kan inte göras aktiv och man kan alltså inte boota på denna. Logiska enheter skapas automatiskt när man skapar fler än tre primära partitioner. I Diskhanteraren i Windows 2022 kallas både Partitioner och Volymer för Volymer. Systempartition och Bootpartition I Windows Server använder man begreppen Systempartition och Bootpartition. Med dessa avses vilken Partition/ Volym som datorn startar upp på resp. vilken som innehåller mappen med Windowsoperativsystemet. Systempartition Systempartitionen är den som datorn bootar upp på, alltså startar upp på. Datorns BIOS söker vid uppstart på hårddisk som är angiven i BIOS som startdisk efter en aktiv partition (Basic Disks) eller första volymen om disken är dynamisk. Bootpartition Bootpartitionen är den partition/volym där operativsystemet finns lagrat, vanligtvis i mappen. \Windows. Om man har konfigurerat Multiboot på datorn, alltså möjlighet att starta ett av flera operativsystem så har man bootpartitioner på fler olika diskar. Vid uppstart anger man då vilket av systemen man vill starta. Man kan i Windows ange vilket av operativsystemen som skall vara förstahandsval och som startar upp automatiskt om man inte anger något annat. Detta gör man under System Properties, System and Recovery under fliken Advanced. I tidigare versioner av Windows fanns på systempartitionen filen Boot.ini vilken innehöll en anvisning till vilken disk som operativsystemet fanns på. Dessutom användes filerna Ntldr och Ntdetect.com vilka användes av systemet vid uppstart. I Windows Server 2022 har man ändrat på startproceduren. Nu har man i stället på systempartitionen filen Bootmgr samt den dolda mappen Boot. I denna finns filen BCD, Boot Configuration Data, vilken innehåller boot-informationen. För att redigera informationen i BCD-filen används kommandoradsverktyget Bcdedit som startas i kommandotolken. OBS, kräver att du aktiverar kommandotolken som administrator. Hantering av diskar i Windows Server 2022 I Windows Server 2022 finns två sätt att hantera diskar och lagring. Antingen på det klassiska sättet med Diskhanteraren eller via File and Storage Services i Server Manager. Vi börjar med att beskriva det klassiska sättet. Det andra återkommer vi till lägre fram i detta kapitel. Diskhanteraren Diskhanteraren är det klassiska sättet att hantera diskar i Windows Server. För att starta denna så kan man antingen högerklicka på Dator och välja Computer - Manage eller gå in under Local Server Tasks - Computer Management. I detta program har man två delar i sitt fönster. Den övre delen visar som standard de Volymer och Partitioner man har skapat. Det visar också en hel del uppgifter om dessa. Den nedre delen visar en grafisk bild över konfigurationen av de hårddiskar som finns i datorn. Det går dock att ändra på vad som skall visas. Gå in under menyn View så kan du välja vad som skall visas i övre resp. nedre fönstret och vilka detaljer som skall visas. Du kan också bestämma vilka färger som skall illustrera de olika partition- och volymtyperna. Numrering av Diskar och Partitioner/Volymer. Diskarna i datorn numreras från Disk 0, Disk 1... och uppåt. Partitioner och Volymer numreras däremot från 1 och uppåt på varje disk. Tips! Ett gott råd innan du börjar arbeta med diskar. TA EN SÄKERHETSKOPIA PÅ HELA DATORN. Det är nämligen väldigt enkelt att med endast några få klickningar radera en hel hårddisk. Disktyper I Windows 2022 kan man ha två olika typer av diskar, Standard diskar, Basic Disks, och Dynamiska diskar, Dynamic Disks. Dessa är inte olika varandra hårdvarumässigt, utan kan vara identiska hårddiskar. Det är hur operativsystemet hanterar dem som är skillnaden. Standard diskar Standard Diskar, Basic Discs, betecknar det sätt som hårddiskar alltid har hanterats av operativsystemet. På Standard diskar så kan man endast skapa partitioner, högst 4 primära eller 3 primära samt 1 utökad. Man kan inte skapa några av de olika volymer som är möjliga att skapa i Windows 20012. Dynamiska diskar Dynamiska diskar, Dynamic Discs är en nyhet som kom med Windows 2000. Det rekommenderas att använda detta. En hårddisk kan konverteras från Standard disk till Dynamisk disk. Genom att göra disken dynamisk kan flera nya funktioner i Windows 2000/2003/2008/2022 utnyttjas. Fördelarna med Dynamisk disk är följande: - Antalet volymer på en disk är inte längre begränsat. Du kan skapa en volym med diskarea från flera hårddiskar, (Spanned Volume) Det går att utöka en befintlig volym med utrymme från en annan hårddisk. Du kan skapa speglade volymer, (Mirrored Volumes). Det går att skapa Striped Volumes och RAID-5 Volumes. Du kan använda verktyg i diskhanteraren för att reparera och synkronisera skadade volymer. Första Volymen som skapas på disken är alltid Aktiv. Detta går inte att ändra på. Du kan välja att uppgradera en eller flera av hårddiskarna i datorn. För att kunna utnyttja flera diskar i en volym så måsta alla de ingående diskarna i volymen vara dynamiska. Läs i längre fram i detta kapitel om hur du uppgraderar en hårddisk till dynamisk. Diskhantering med Standarddiskar, Basic Disks Skapa en Partition/Volym För att skapa en primär partition så gör man så här: (Disken inte får vara dynamisk). Högerklicka på en ledig yta på en hårddisk. Välj New Simple Volume. En guide startar, klicka Next och välj sedan önskad storlek på partitionen. OBS! Man väljer att skapa en Volym trots att det är en Partition man egentligen skapar. Välj önskad enhetsbokstav, klicka Next. Efter detta så anger man vilket filsystem som man vill att partitionen skall formateras i, samt anger partitionens namn. Klicka Next. I steget ovan kan man istället även välja att "Mounta", Mount, volymen som en mapp i en redan existerande enhet. Då krävs att man använder NTFS som filsystem i dessa volymer. Ange i så fall önskad sökväg för den "Mountade" volymen. En sammanställning visas, klicka till sist på Finish. Den nya partitionen är nu skapad och formaterad. Partitionen syns ny nu i diskhanteraren med en mörkblå färg. TIPS FRÅN VERKLIGHETEN... Om man börjar få trångt om utrymme på en befintlig partition eller volym så kan man alltså "lägga till" utrymme från en annan hårddisk som en undermapp på den befintliga partitionen. Skapa utökad partition och logisk enhet För att skapa en utökad partition så gör man på samma sätt som när man skapar en primär, se föregående avsnitt. När man redan har tre primära partitioner och ger kommandot att skapa en Simple Volume så skapas i stället en utköad partition och en logisk enhet i denna, helt automatiskt. Den utökade partitionen syns nu med en avvikande färg jämfört med en primär (oftast ljusgrön). För att skapa flera logiska enheter i den utökade partition så gör man på samma sätt som när man skapar en primär partition, se tidigare avsnitt. Den logiska enheten syns nu med en avvikande färg jämfört med en primär (oftast ljusblå). Skapande av primära, utökad samt logiska enheter kräver inte att datorn startas om utan dessa kan användas direkt. Status Healthy som syns betyder att de är OK. Ta bort en Partition eller Logisk enhet För att ta bort en partition, markera den och tryck på Delete eller högerklicka och välj Delete Volume. All data som finns lagrad på partitionen försvinner i och med detta. Uppgradera till Dynamisk disk En standarddisk kan uppgraderas till dynamisk i diskhanteraren. Detta kan göras både med en tom hårddisk och med en hårddisk med befintliga partitioner. Befintliga primära partitioner eller logiska enheter omvandlas då till Simpla Volymer, Simple Volumes, läs mer om dessa nedan. Alla filer och kataloger bevaras även om volymerna för ett kort ögonblick kommer att monteras ned. Eventuellt outnyttjat utrymme i en utökad partition kommer då att bli ledigt opartitionerat utrymme. Gör så här för att uppgradera en disk till dynamisk: Högerklicka på själva disksymbolen till vänster i det nedre fönstret. Välj Convert to Dynamic Disk. Bekräfta vilka diskar som skall uppgraderas, klicka OK. Om disken innehåller partitioner så får du ytterligare meddelanden. Fortsätt genom att svara Yes på frågorna. Nu är disken uppgraderad till Dynamisk. Eventuella Partitioner som fanns förut är nu konverterade till Enkla Volymer och visas med annan färg (olivgrön) Återgå till Standarddisk En Dynamisk disk kan, om man nu vill göra det, återgå till att vara Standarddisk. För att kunna göra detta så måste man först ta bort alla volymer från disken. All data på disken går nämligen förlorad vid denna operation. När disken är tom så kan man Högerklicka på disken och välja Convert to Basic Disk. Partitioner måste sedan skapas på nytt och eventuell data måste tas tillbaka från en säkerhetskopia. Hantera Partitioner och Volymer När man skapat Partitioner och Volymer så kan man göra olika åtgärder på dessa. Genom att högerklicka på önskad partition/volym så kommer en meny upp. Ange aktiv partition Med kommandot Mark Partition as Active så kan man ange vilken partition som skall vara aktiv. Detta kommando är enbart tillgängligt för Partitioner på Standard Diskar, ej för Volymer på Dynamiska Diskar. När man anger en partition som aktiv så innebär det att det är på denna som datorn bootar upp. Vanligtvis är detta första partitionen på första disken vilken oftast brukar ha enhetsbokstaven C:. På en Dynamisk disk är det alltid den första volymen på disken som datorn startar upp på. Ange enhetsbokstav och sökväg Med kommandot Change Drive Letter and Paths kan man byta Enhetsbokstav för Partitionen/Volymen eller ange att den skall monteras som en ny mapp i en befintlig enhet. Tips! Numera kan man även utnyttja enhetsbokstäverna A: och B: vilka tidigare varit reserverade för diskettstationer. Detta kan vara avgörande för att få vissa ”legacy” applikationer att fungera!!! Formatering Med hjälp av kommandot Format kan man formatera partitionen/volymen. Man väljer vilket filsystem som den skall formateras i, NTFS, ReFS, FAT32 eller FAT. I samband med formateringen kan man också ange önskat namn på volymen. Detta kan även anges i utforskaren. Formateringen kan antingen göras normalt eller med Quick format. Detta innebär att alla endast allokeringstabellen rensas, hela disken skrivs inte över. I samband med formateringen kan man även välja komprimering av den aktuella volymen. Detta är endast tillgängligt om man valt filsystemet NTFS. Man kan även välja storlek på varje Allokeringsenhet. Med detta menas storleken för varje "del" av den formaterade volymen. Varje fil som sparas upptar en eller flera hela allokeringsenheter. Om det blir utrymme över på en allokeringsenhet så kan detta inte utnyttjas för fler filer. Tips! Ju mindre storlek man väljer på allokeringsenheterna så blir det alltså mindre outnyttjat utrymme och hårddisken rymmer fler filer. Nackdelen är dock att det tar längre tid att läsa och skriva ju fler allokeringeenheter som måste läsas. Så det man vinner i utrymme förlorar man i tid. Alternativet Default är oftast den bästa medelvägen. Om man har en volym där man endast lagrar mycket stora filer, till exempel CAD-ritningar eller bilder, så kan man dock överväga att ange ett större värde. Utöka volym Med kommandot Extend Volume så kan man öka storleken hos en volym/partition. Detta förutsatt att det finns outnyttjat utrymme på någon hårddisk. Om volymen man vill utöka är den som innehåller systemet (Windows) så kan endast samma hårddisk utnyttjas. Om man utökar en volym med utrymme från en annan disk så blir detta en Spanned Volume. Detta förklaras längre fram. Minska volym Med kommandot Shrink Volume så kan man minska storleken på en befintlig volym/partition. Hur mycket man kan minska beror på hur stor yta som upptas av filer. Inga filer raderas när volymen minskas. Ta bort volym Med kommandot Delete Volume tar man bort en volym. Då raderas också alla filer och mappar på den. Add Mirror Med detta kommando skapas en diskspegling av markerad volym. Detta förklaras längre fram. Diskhantering med Dynamiska diskar, Dynamic Disks Volymer i Windows Genom att konvertera en disk till Dynamisk så kan man skapa Volymer istället för Partitioner. Om man har flera Dynamiska diskar i sin dator så kan man också utnyttja möjligheten att skapa de olika disksystemen (benämns också som Volymer) som finns i Windows 2000/2003/2008/2022. Detta är de olika typerna av Volymer som kan skapas i Windows Server: Simple Volume En Enkel Volym, Simple Volume, består bara av diskutrymme från en enda hårddisk. Den erbjuder ingen prestandaförbättring avseende snabbhet eller feltolerans. Den fungerar alltså som en vanlig Partition. För att kunna skapa en Simple Volume så krävs att du använder en Dynamisk disk. En Simple Volume på en Dynamisk disk skapas på samma sätt som en Partition på en Basic Disk. Se tidigare exempel. Den nya Volymen syns i diskhanteraren med en olivgrön färg. Spanned Volume En Spanned Volume är en volym som består av delar från minst 2 olika hårddiskar. I en Spanned Volume kopplas diskutrymme från fler än en hårddisk ihop och syns i operativsystemet som en enda stor volym. Man kan också utöka en Simple Volume med diskutrymme från en annan disk och denna blir då en Spanned Volume. För att kunna skapa en Spanned Volume så krävs dynamiska diskar. Anledning till att man använder Spanned Volume kan vara att man har flera mindre hårddiskar som man vill slå samman till en stor volym. En annan anledning kan vara att man börjar få ont om diskutrymme i en volym. Man kan då utöka detta genom att addera ledigt utrymme från ytterligare en hårddisk. Spanned Volume innebär ingen prestandaförbättring avseende snabbhet eller feltolerans. Tvärtom så kan en Spanned Volume vara mer sårbar än en vanlig Simple Volume. Detta eftersom man nu använder fler hårddiskar och om någon av dem havererar så kraschar hela volymen. (Och alla andra volymer som finns på hårddisken). För att kunna skapa en Spanned Volume så krävs att du har ledig yta på minst två Dynamiska Diskar. OBS! En Spanned Volume kan inte användas till att lagra vare sig System- eller Bootpartition. Så här skapar man en Spanned Volume: Högerklicka på en ledig yta på en hårddisk. Välj New Spanned Volume. En guide startar. Välj önskade diskar som skall ingå i volymen. Du måste välja minst 2 st. Välj också hur stor yta som skall tas från varje disk. Det måste vara lika mycket från varje disk. Fortsätt sedan genom guiden på samma sätt som med andra disksystem. Striped Volume En Striped Volume är ett disksystem som består av lika stor diskyta på två eller flera hårddiskar. Dessa kopplas samman så att data som skall skrivas delas upp på alla de ingående hårddiskarna och skrivs sedan samtidigt. För att kunna skapa en Striped Volume så krävs dynamiska diskar. Striped Volume erbjuder ingen prestandaförbättring avseende feltolerans. Tvärtom så kan en Striped Volume vara mer sårbar än en vanlig Simple Volume. Detta eftersom man nu använder fler hårddiskar och om någon av dem havererar så kraschar hela volymen. Striped Volume erbjuder däremot en avsevärd prestandaförbättring avseende snabbhet. Operativsystemet delar upp informationen som skall skrivas/läsas på minst två hårddiskar och eftersom dessa skriver/läser parallellt så går det mycket fortare. Med fler ingående hårddiskar så blir prestandan ännu bättre. Striped Volume är standardiserad som RAIDO som vi går igenom mer i nästa kapitel i denna bok. Anledningen till att man använder Striped Volume är enbart för att få snabbare diskåtkomst. I operativsystemet så syns den Stripade volymen som en enhet, t.ex. E:. Storleken på den blir lika med summan av den använda ytan på alla ingående hårddiskarna. Dessa måste också vara lika stora. En Striped Volume kan inte utökas i efterhand. OBS! En Striped Volume kan inte användas till att lagra vare sig System- eller Bootpartition. Så här skapar man en Striped Volume: Högerklicka på en ledig yta på en hårddisk. Välj New Striped Volume. En guide startar. Välj önskade diskar som skall ingå i volymen. Du måste välja minst 2 st. Välj också hur stor yta som skall tas från varje disk. Det måste vara lika mycket från varje disk. Fortsätt sedan genom guiden på samma sätt som med andra disksystem. Mirrored Volume Mirrored Volume är speglade diskar. Det är alltid diskutrymme från 2 hårddiskar som speglas mot varandra. I operativsystemet syns de som en enda disk, till exempel D: Fördelen med detta är att om någon de ingående diskarna havererar så kan man fortsätta att arbeta ändå. Den trasiga kopplas bort och den kvarvarande arbetar vidare på egen hand. Mirrored Volume är standardiserat som RAID1. Det innebär ingen prestandaförbättring avseende hastighet. Tvärtom så kan det bli lite långsammare eftersom skrivning måste ske till två diskar. Däremot så får man en mycket bättre säkerhet mot diskhaveri. Så länge som en av diskarna fortfarande fungerar så kan man arbeta vidare. Så snart man kan skall man dock byta ut den trasiga mot en ny. Då måste man dock stänga av datorn. Läs hur man återskapar speglingen senare i detta kapitel. Man förlorar diskyta genom att använda spegling. Om man vill ha en volym på 10 GB så åtgår även 10 GB från en annan disk till spegelkopian. De båda diskarna behöver inte vara lika stora men de måste ha denna yta ledig. Man kan antingen skapa en Mirrored Volume av två tomma diskytor på olika hårddiskar eller att spegla en befintlig Simple Volume. För att kunna skapa en Mirrored Volume så krävs dynamiska diskar. En Mirrored Volume kan användas till att lagra vare sig System- eller Bootpartition. Så här skapar man en Mirrored Volume: Högerklicka på en ledig yta på en hårddisk. Välj New Mirrored Volume. En guide startar. Välj önskade diskar som skall ingå i den speglade volymen. Du måste välja 2 st. Välj också hur stor yta som skall tas från varje disk. Det måste vara lika mycket från varje disk. Fortsätt sedan genom guiden på samma sätt som med andra disksystem. Skapa spegling till en befintlig Volym Man kan också skapa spegling på en befintlig Enkel Volym. Detta kan man även göra med Systemoch Bootpartitionen. Så här speglar man en befintlig Simple Volume till en Mirrored Volume: Högerklicka på volymen du vill spegla. Välj Add Mirror. Välj önskad disk för spegelkopian. Disken måste minst ha en yta motsvarande storleken på den befintliga volymen ledig. Klicka på Add Mirror. Speglingen är nu skapad. Nu måste all befintlig data kopieras över till spegelkopian. Detta tar en liten stund. Under tiden så har speglingen statusen: Resynching. RAID-5 Volume RAID-5 Volume är ett disksystem som består av lika stor diskyta på tre eller flera hårddiskar. Dessa kopplas samman så att data som skall skrivas delas upp på alla de ingående hårddiskarna och skrivs sedan samtidigt. Dessutom så skrivs paritetsinformation på alla diskarna. Med hjälp av denna så kan systemet återskapa förlorad data om en av diskarna kraschar. RAID-5 Volume är standardiserad som RAID5. Den erbjuder prestandaförbättring både avseende feltolerans och snabbhet. Eftersom flera diskar ingår så kan datan läsas och skrivas samtidigt på fler diskar vilket förkortar tiden för detta avsevärt. Det går dock inte lika fort som med en Striped Volume. Detta eftersom paritetsinformationen också måste skrivas. Med fler diskar med i RAID-5 så går det också snabbare än med enbart 3 st. Säkerheten höjs också avsevärt vid användningen av RAID-5. Om en av de ingående diskarna havererar så kan man fortsätta att arbeta. Nu fungerar dock inte feltoleransen längre så om någon av de andra diskarna också kraschar så förlorar man datan. Byt därför ut den trasiga disken så snart du kan. Läs mer om åtgärder vid diskfel senare i detta kapitel. När en disk är borta ur RAID-5 volymen så blir alla skrivningar och läsningar också betydligt långsammare. Genom att använda RAID-5 volym så "förlorar" man diskutrymme. Paritets-informationen måste ju också skrivas och denna tar också plats. Paritetsinformationen tar lika mycket utrymme som den använda arean på en av de ingående diskarna. Hårddiskarna som används till RAID-5 kan vara olika stora. De ingående delarna måste dock vara lika stora. Vi tar ett exempel: Om vi skapar en RAID-5 volym med alla fyra diskarna, Disk 0-3, så kan vi högst utnyttja 4 GB på varje. Vi får då 4 x 4 GB = 16 GB. Av detta åtgår 4 GB till paritetsinformation vilket ger oss 12 GB kvar tillgängligt för data. På disk 1-3 har vi också ledigt opartitionerat utrymme kvar att använda till andra volymer. Om vi istället skapar en RAID-5 volym med tre av diskarna, Disk 1-3, så kan vi högst utnyttja 10 GB på varje. Vi får då 3 x 10 GB = 30 GB. Av detta åtgår 10 GB till paritetsinformation vilket ger oss 20 GB kvar tillgängligt för data. Det är alltså viktigt att välja vilka diskar som skall ingå för att få maximal storlek. RAID-5 Volume är standardiserad som RAID-5 som vi gått igenom i tidigare kapitel i denna bok. Anledningen till att man använder RAID-5 Volume är både för att få snabbare diskåtkomst och högre säkerhet. En RAID-5 Volume kan inte utökas i efterhand. För att kunna skapa en RAID-5 Volume så krävs dynamiska diskar. En RAID-5 Volume kan inte användas till att lagra vare sig Systempartition eller Bootpartition Så här skapar man en RAID-5 Volume: Högerklicka på en ledig yta på en hårddisk. Välj New RAID-5 Volume. En guide startar, klicka Next. Välj önskade diskar som skall ingå i volymen. Du måste välja minst 3 st. Välj också hur stor yta som skall tas från varje disk. Det måste vara lika mycket från varje disk. Fortsätt sedan genom guiden på samma sätt som med andra disksystem. Den nya RAID-5 Volymen syns nu i diskhanteraren med en ljusblå färg. RAID I PRAKTIKEN I praktiken använder man sig nästan aldrig av RAID5, RAID1 eller RAIDO-volymer skapade i Windows Server. Man har i stället ett RAID-kort i serverdatorn och skapar RAID-diskarna i detta. Då får man ett mycket mer pålitligt disksystem med bättre prestanda. Man skapar den önskade RAID-konfigurationen med hjälp av ett särskilt program i RAID-kortets BIOS vilket initieras före uppstarten av Windows. I Windows uppfattar man sedan varje RAID som en enda Hårddisk. Läs mer om detta i nästkommande två kapitel. Hantering av lagring i Server Manager Nytt i Windows Server 2013 är att man kan hantera lagring direkt i Server Manager, under File and Storage Services. Här kan man även utnyttja nya funktioner såsom Storage Pools. Klicka på File and Storage Services. Under Volumes kan man hantera Volymer. Här visas alla upplagda Volymer på Servern. Under Disks kan man hantera diskarna på servern. Dock endast de som är tomma och som man inte har konfigurerat i den klassiska diskhanteraren. Under Storage Pools kan man skapa och hantera Storage Pools. Storage Pool Storage Pool är en ny funktion i Windows Server 2022. Detta är ett förenklat sätt att hantera lagring på servern. Med hjälp av Storage Pools kan man blanda olika typer av diskar, interna och externa, SATA eller SAS eller SAN, och med hjälp av dessa konfigurera lagringsenheter på servern. Från en Storage Pool kan man sedan skapa Virtuella diskar, Virtual Disks, som kan användas att lagra filer på vanligt sätt. Skapa en Storage Pool - Praktiskt exempel För att skap en Storage Pool så måste man ha minst en tom disk, eller ett tomt disksystem. I Server Manager så går man in under File and Storage Services. Här klickar man på Storage Pools. Under Storage Pools - Tasks väljer man New Storage Pool. Ange önskat namn på Storage Pool:en. Välj sedan vilken disk (disksystem) som skall användas. Denna måste vara tom och ej hanterad i Diskhanteraren. Välj i nästa steg vilken disk som skall användas och om denna skall användas eller allokeras som Hot Spare för att kunna ersätta annan disk som fallerar. Klicka på Create för att skapa Storage Pool. Skapa en Virtual Disk - Praktiskt exempel För att skap en Virtual Disk så måste man först ha skapat en Storage Pool. I Server Manager så går man in under File and Storage Services. Här klickar man på Storage Pools. Under Virtual Disks - Tasks väljer man New Virtual Disk. Nu startar en guide Välj först önskad Storage Pool. Ge disken ett namn Välj nu disksystem för den virtuella disken. Man kan välja Simple, Mirror eller Parity. Detta motsvarar ungefär RAIDO, RAID1 och RAID5. För att kunna välja Mirror eller Parity så måste man ha flera fysiska diskar i sin Storage Pool. Välj hur disken skall utnyttjas. Ange önskad storlek för disken Klicka till sist på Create Nu kan man skapa Volymer på den virtuella disken. Diskunderhåll och åtgärder vid diskfel Windows Server 2022 erbjuder flera verktyg för kontroll, underhåll och felhantering av hårddiskar. Rescan disks Detta kommando är tillgängligt i Diskhanteraren, Disk Management och i Server Manager. Det används när man vill uppdatera informationen över vilka diskar som är anslutna i servern. Det kan t.ex. behöva användas efter det att man kopplat in en ny hårddisk. Offline/Online Dessa kommandon kan göras på respektive disk. Med dem kan man stänga av resp. slå på en disk. Reactivate Volume Om en disk varit avstängd (Offline) och sedan kopplats på igen så måste de volymer som finns på disken reaktiveras. Använd kommandot Reactivate Volume för att göra detta. Remove Mirror Detta kommando görs på en speglad volym, Mirrored Volume, om man vill ta bort speglingen och samtidigt radera innehåller på en av de båda kopiorna. Man får välja vilken av de båda man vill ta bort. OBS! Ta inte bort volymen som används som boot- eller systempartition. Break Mirrored Volume Med detta kommando bryts speglingen upp men ingen data från någon av de båda volymerna raderas. Efter kommandot så har man alltså två identiskt lika volymer. Kommandot Break Mirrored Volume kan användas om man vill byta ut den primära hårddisken med boot- och systempartition. Man skapar då först en spegling av partitionen till den nya disken. När spegelkopian har uppdaterats fullt ut så kan man bryta speglingen, byta plats på diskarna och sedan starta om datorn. Nu är disken med spegelkopian den primära som servern bootar upp på. Checkdisk Man kan analysera en volym på en hårddisk för att hitta eventuella fel. Vissa av de eventuella felen en kan också korrigeras. Detta gör man med Checkdisk, ett verktyg som man dock inte hittar i diskhanteraren utan på respektive volym i Utforskaren. Högerklicka på önskad Volym, välj Properties, och gå in i fliken Tools. Klicka sedan på Check Now under Error-checking. Defragmentering Diskar kan bli fragmenterade, även om man använder NTFS. Verktyget för defragmentering startas genom att gå in och öppna Computer, och högerklicka på önskad volym och i fliken Tools, välja Optimize. I verktyget för defragmentering så kan man först analysera en volym för att kontrollera om den är i behov av defragmentering. Man får då en rapport med uppgifter om eventuell fragmentering och vilka filer som är mest fragmenterade. Man kan därefter defragmentera (Optimize) volymen. TIPS! Utför all defragmentering av Servrar nattetid eller när den inte belastas av annat arbete. Det tar nämligen en hel del systemresurser i anspråk att utföra defragmenteringen. Diskstatus och Volymstatus Status på Diskar och Volymer visas i diskhanteraren. Volymerna visas i det övre fönstret och diskarna i det nedre. Informationen här kan vara mycket viktig. Speciellt gäller detta Speglingar, Mirrored Volume, och RAID-5 volymer. Här kan man nämligen få information om dessa fungerar på rätt sätt. Då visas status Healthy. Om någon av diskarna i dessa har havererat visas i stället Failed Redundancy på den disken som fortfarande fungerar och Offline på den skadade disken. Dessa uppgifter är mycket viktiga när man skall åtgärda ev. diskfel. Filservertjänsten i Windows Server 2022 För att en Windows Server skall fungera som en filserver med utdelade resurser så behöver rollen File and Storage Services finnas. Denna installeras dock som standard på varje ny Windows 2022 server. I Server Manager kan det ser ut så här: Från Server Manager kommer man åt funktioner för en filserver. Klicka på File and Storage Services. Under Volumes kan man se hur mycket som är ledigt på respektive volym. Man kan också se vilka utdelade resurser man har. Under Disks kan man hantera serverns hårddiskar och skapa nya volymer. Att arbeta i detta gränssnitt är ett alternativ till den traditionella Disk Management. Under Shares kan man se vilka resurser man delar ut från servern. Mer information får man dock i Datorhanteraren, Computer Management som vi tidigare tagit up boken Nätverksteknik. Här kan man se alla resurser som delas ut. Man kan även se vilka användare som är inloggad på någon resurs och vilka filer som är öppnade. Gör nu övningarna i Arbetsboken till kapitel 22 23. NÄTVERKSINSTÄLLNINGAR I WINDOWS SERVER 2022 Nätverksanslutningar på en serverdator Serverdatorer använder som regel kabelbundna nätverksanslutningar. Detta på grund av högre krav på tillgänglighet, säkerhet och överföringshastighet. Man använder ofta Gigabit-anslutning till nätverket på serverdatorer. Trådlöst nätverk är från början heller inte aktiverat i Windows Server 2022. Lite större serverdatorer har ofta flera oberoende nätverkskort. Detta för att öka driftsäkerheten då nätverksanslutningen kan fortsätta fungera även om något av nätverkskorten, kablarna eller switch går sönder. Då måste man sammankoppla de båda nätverkskorten i Windows Server. Mer längre fram Nätverksanslutningar i Windows Server 2022 I Windows Server 2022 anger man inställningarna för nätverket under Kontrollpanelen Nätverksoch delningscenter, Network and Sharing Center. Man kan visa status för respektive nätverksanslutning. Man konfigurerar nätverksprotokoll och anger IP-adresser. Man anger inställning separat för varje nätverksanslutning (nätverkskort). Man kan även ange flera olika IP-adresser och Gateways för varje nätverksanslutning. Man kan, o bör även ange flera olika DNS-servrar. Dessa utnyttjas i fallande ordning. Man kan även ange om WINS-servrar och/eller LMHOST-filer skall användas. Hantera nätverkskort Från Nätverks- och delningscenter kan man också konfigurera själva nätverkskorten. Man kan koppla in och koppla från anslutningarna. Trådlös nätverksanslutning på en serverdator För att kunna använda trådlös nätverksanslutning i Windows Server 2022 så måste man lägga till denna funktion, Feature. Det kan användas till exempel om man installerar på en bärbar dator. 24. DNS Vi har i tidigare kapitel gått igenom hur DNS är uppbyggt och hur det fungerar. Nu skall vi titta närmare på hur man hanterar DNS i Windows Server 2022. DNS är en mycket viktig funktion i ett nätverk. I ett nätverk där datorerna är anslutna till en Windows-domän har DNS:en två funktioner. 1. DNS svarar för namnuppslag för internettjänster, www-adresser, ftp-adresser, e-post m.m. DNS översätter alltså en adress (t.ex. en www-adress) mot den sökta serverns ip-adress. Denna funktion har vi gått igenom i kapitlet om TCP/IP-protokollen. Vi kommer nedan att gå in lite mer i detalj hur detta hanteras på en Windows-server. 2. DNS svarar för namnuppslag mot servrar, datorer och funktioner i det lokala nätverket. Det är DNS som gör så att t.ex. en klientdator kan hitta och logga in i en Windows-server. Utan DNS fungerar inte det lokala nätverket mellan servrar och klientdatorer. Även denna funktion skall vi nedan titta lite närmare på. Active Directory, katalogtjänsten i Windows Server, har en mycket central roll. Det är kring denna som hela Windows domänstruktur är byggt. Många av funktionerna i Active Directory har vi gått igenom i kursen Nätverksteknik. Funktionen DNS har stor betydelse för Active Directory. Utan denna så skulle inte Active Directory fungera. Man måste också installera DNS för att kunna installera Active Directory. Vi kommer i denna här boken att börja med att manuellt installera DNS och därefter Active Directory. Installation av DNS DNS installeras som en Roll, Role, i servern. DNS är även en förutsättning för att Active Directory skall kunna installeras. Oftast lägger man DNS och Active Directory på samma server. OBS! För att DNS skall kunna installeras så måste servern ha en fast IP-adress. PRAKTISKT EXEMPEL - INSTALLERA OCH KONFIGURERA DNS Man installerar DNS på vanligt sätt i Server Manager genom Manage - Add Roles and Features. Klicka i DNS Server och fortsätt genom guiden genom att klicka Next. Klicka på Add Features. Fortsätt genom guiden. Hantering av DNS-servern DNS-servern hanteras i med DNS Manager som vi hittar i Server Manager under Tools. Genom att högerklicka på DNS-serverns namn kan man utföra olika kommandon. OBS VIKTIGT! Konfigurera DNS Servern att vara sin egen DNS klient. Om man inte gör detta kommer många DNS-testverktyg samt TCP/IP-baserade program inte att fungera som de skall. Ange alltså den egna IP-adressen även som adress för DNS-servern. Gör detta innan du går vidare. Konfigurera DNS-servern Nästa steg blir att konfigurera DNS-servern att hantera en domän. Högerklicka på önskad server under DNS i Server Manager och välj Configure a DNS Server. En guide startar. Man kan välja på tre olika typer av DNS-server. Första valet, Forward lookup zone, skapar en DNSserver som enbart hanterar lokala domäner. Alla DNS-förfrågningar från klientdatorer avseende andra domäner än den lokala vidarebefordras direkt till en extern DNS på internet. Då används den som är angiven som DNS-server i TCP/IP-inställningarna och det skall då inte vara den lokala servern. Andra valet, Forward and reverse lookup zones, skapar en DNS-server både för lokala domäner och som kan lagra och vidarebefordra DNS förfrågningar från lokala datorer till internet. Vi väljer detta alternativ. (Det tredje alternativet bryr vi oss inte om just nu). Klicka sedan på Next. I nästa steg får man frågan om man skall skapa en Zone, alltså en domän som hanteras av DNSservern. Detta kan man även göra senare med kommandot New Zone. Man får därefter välja Zone Type. Primary Zone avser en primär DNS-server för denna domän, Secondary Zone väljer man om man vill sätta upp en sekundär DNS-server för domänen. Stub Zone tar vi inte upp här. Vi väljer Primary Zone. Nästa fråga i guiden blir domännamnet, Zone Name. Här skriver man in ett namn man vill använda t.ex. dataskolan.local, OBS! använd alltid local efter punkten om DNS servern skall hantera ditt lokala nätverk så det ej blandas ihop med Internet. dataskolan.local = intern DNS och dataskolan.se = extern DNS ut mot Internet. När man skapar den nya zonen skall även zone-filen skapas. Denna har ändelsen .dns (zonens namn + filändelsen), i detta fall Dataskolan.local.dns. Klicka på Next. Denna fråga gäller om man vill tillåta dynamisk uppdatering av DNS-en. Vi kommer senare att integrera DNS-en i vår AD och då kommer den att kunna uppdateras dynamiskt med säkerhet. Om vi redan nu vill kunna göra dynamisk uppdatering så måste detta göras utan säkerhet vilket inte är att föredra. Vi väljer därför att inte tillåta dynamisk uppdatering. Klicka på Next. Därefter anger man om man vill skapa en Reverse lookup zone, svara Yes, klicka på Next. Reverse lookup zone skall också vara Primary. Vi väljer sedan att använda IPv4. Klicka på Next. Ange nätverks-id för serverns IP-adress. Välj sedan filnamn för zone-filen. Klicka på Next. Nu kommer samma fråga som tidigare men denna gång gäller det reverse lookup zone. Välj Do not allow dynamic updates. Klicka på Next. I nästa steg anges en eller flera DNS-servrar som behövs om din DNS-server måste skicka vidare en DNS-förfrågan, Forwarders. Ange IP-adresser till minst en annan DNS-server, lokalt eller på internet. En sammanställning av dina val visas, klicka på Finish och sedan är DNS-en konfigurerad. Nu är DNS-servern konfigurerad med en Forward Lookup Zone, Dataskolan.local och en Reverse Lookup Zone för nätet 192.168.136. DNS-funktionen på det lokala nätverket Klientdatorerna på det lokala nätverket skall ha den interna DNS-servern angiven som DNS-server under inställningarna för TCP/IP. Detta för att Active Directory skall fungera. (Annars kan de inte verifiera sin inloggning mot domänkontrollanten). När klientdatorerna skall gå ut på internet måste de kunna få namnuppslag för internetadresser. Detta kan man antingen lösa genom att man anger en andra, och eventuellt tredje DNS-server som då kan vara servrar ute på internet. Ett bättre alternativ är dock att DNS-servern på det lokala nätverket tar emot och vidarebefordrar namnförfrågningar till någon annan DNS-server på internet, (forward). Detta namnuppslag sparas då i den lokala DNS-servern under Cached Lookup. Dessa och ytterligare några andra mappar synd om man istället väljer View – Advanced. Om man går in under Cached Lookups och klickar på mappen se så visas mappar för alla sidor i .se – domänen som man besökt. Gå nu in under till exempel Skolportalen om du varit inne på www.skolportalen.se Högerklicka på www och välj Properties. Här ser man namnet på www.skolportalen.se, att det är en A-post och vilken IP-adress som denna har (62.119.34.47). Man ser också TTL-värde, Time to Live, som i detta fall är 53 minuter och 12 sekunder. Detta anger hur länge som detta DNS-upslag skall få finnas kvar i DNS-en chacheminne. Om någon annan dator på det interna nätverket begär en ny DNS-förfrågan för www.skolportalen.se inom denna tid så skickas inte denna vidare, servern har ju redan tagit reda på den efterfrågade IP-adressen. Alltså kan den interna DNS-servern själv svara klienten utan att gå ut på internet. Detta sparar mycket internettrafik och ger snabbare internetaccess på det lokala nätverket. TTL-värdet är ett mycket viktigt värde. Det anges av respektive ägare av domänen, www.Movant.org i exemplet ovan. Första gången som vår DNS-server gjorde denna förfrågan mot så fick den reda på IP-adressen www.Movant.org så fick den reda på IP-adressen samt TTL-värdet 1 timme. Detta räknas sedan ner i vår lokala DNS-server. Om vi får en ny förfrågan på samma adress när denna tid har gått ner till noll så måste en ny förfrågan göras. Om man i stället går in under t.ex. skolportalen (om man varit inne på www.skolportalen.se). Högerklicka på www och välj Properties. Här ser man att det inte är en A-post utan i stället ett Alias, CNAME. Någon IP-adress visas då inte utan i stället en annan adress till vilken man vidarebefordras. Dock ser man aktuellt TTL-värde för denna adress. Konfigurera egenskaperna på DNS-Servern Det finns en hel del inställningar man kan konfigurera på sin DNS server. Högerklicka på DNS Serverns namn och välj Properties Första fliken Interfacees kan man begränsa samt specificera vilka nätverkskort som skall kunna lyssna samt acceptera DNS anrop från klientdatorer. All IP Addresses innebär att DNS anrop från klienter accepteras på samtliga nätverkskort på servern, vilket är default. Only the following IP Addresses, innebär att man specificerar vilka nätverks kort som accepterar DNS anrop från klienter. Detta har man gjort för att kunna skydda DNS servern från attacker genom nätverkskort som är anslutna mot Internet. Fliken Forwarders är till för att man skall kunna ange IP adresser till en eller flera andra DNS servrar som skall hjälpa till att lösa namnuppslagen. När inte en DNS server klarar av att lösa ett namn till IP som en klient begär så skickas frågan över till en i listan av Forwarders. Vi har redan angett dessa när vi konfigurerade DNSservern första gången. Här kan man ändra dem eller lägga till ytterligare. Om man bockar i rutan Use Root Hints så kommer Root-servrarna kontaktas om inte någon av DNSservrarna klarar att utföra namnuppslaget. Fliken Advanced innehåller några avancerade inställningar. Disable recursion innebär att den skall repetera tills en lösning är hittad. Som standard är Recursion på, detta innebär då att DNS Servern kontaktar andra DNS servrar, en efter en för att lösa en klients DNS begäran. Stänger man av detta genom att klicka i bocken förhindrar man således DNS servern att kontakta andra DNS Servrar för att lösa klientens DNS begäran. BIND Secondaries är det ingen bock i denna ruta menas att zoner överförs från sin Master DNS Server till en sekundär DNS server genom att använda Fast zone transfer format. Om alla dina DNS servrar är av typen Windows 2000/2003/2008/2022 skall du acceptera dessa default inställningar. Om några av dina sekundära DNS servrar inte är detta och ifall du inte lyckats med "zone transfer" till dessa, skall du klicka i denna ruta. Enable Round Robin används för lastbalansering av dina DNS servrar, t ex. om du har flera Web servrar som är identiskt konfigurerade och som har identiska host namn men olika IP adresser. Detta innebär att DNS servern innehåller multipla mappningar för host namnen som pekar på olika IP adresser, när en server är högt belastad så väljs med automatik en server som är mindre belastad. Enable netmask ordering räknar ut hur DNS servern skall svara på ett DNS anrop från en dator som har multipla nätverkskort. När detta alternativ är valt, DNS servern försöker då att svara med den associerade IP adressen som är fysiskt lokaliserad på samma subnät som klienten, således undviks onödig routing trafik. Det finns också två säkerhetsfunktioner som är ikryssade som standard. Det är Secure cache against pollution och Enable DNSSEC validation. Låt dessa funktioner vara aktiverade. Fliken Root Hints innehåller en lista över de Rotservrar som DNS Servern hittat och använder. Det kan vara interna Rotservrar eller Rotservrar som finns på internet. I bilden intill använder DNS servern rotservrarna på internet. Rotservrar På internet finns 13 st s.k. Rotservrar, Rootservers. Dessa är placerade på olika platser runt om i världen, de flesta i USA. Några av dem är distribuerade på flera kopior varav en finns i Stockholm. De 13 Rotservrarna innehåller alla samma information vilken replikeras mellan dem. Dessa är namnservrar för toppdomänerna på internet, .com, .org, .edu osv. Dessutom är de namnservrar för alla landsspecifika toppdomäner som .se. Dock inte för domänerna under dessa. Om en klientdator begär en namnupplösning på en webbadress från en av rotservrarna så ger den inte IPadressen till denna webbserver utan slussar klienten vidare till den server som ansvarar för den efterfrågade toppdomänen. Rotservrarna är vad man kan kalla spindlar i nätet för hela internet. Skulle dessa slås ut så skulle inget på internet fungera längre. Rotservrarna har namnen a.root-servers.net, b.root-servers.net m.rootservers.net. Den som är intresserad kan läsa mer på www.root-servers.org. Här finns även en aktuell karta som visar placeringen samt deras IP-adresser. Fliken Debug Logging används vid felsökning av DNS-servern. Här kan man konfigurera så att all kommunikation som går till och från denna loggas och sparas i en fil. Fliken Event Logging innehåller olika alternativ för vad som skall sparas i händelseloggen, Event Viewer för DNS-servern. Under fliken Monitoring kan man utföra testförfrågningar mot DNS-servern för att kontrollera dess funktion. Man kan välja att göra en vanlig förfrågan eller en rekursiv förfrågan. Man kan även ställa in så att dessa utförs löpande med jämna tidsintervaller. Konfigurera egenskaper för zonerna Nu när vi tittat lite på egenskaperna för DNS Servern, skall vi gå på zonerna man skapat för DNS Servern. Högerklicka på en zon, under Forward Lookup eller Reverse Lookup, och välj Properties. Under fliken General kan man se status, om den är i gång eller pausad, för zonen samt vad det är för typ av zon. Man kan även ställa in zonen så den tillåter dynamisk uppdatering, starta eller pausa den, samt ändra typen zonen genom att klicka på Change. Dynamiska uppdateringar går vi igenom längre fram i detta kapitel. Under fliken Start of Authority (SOA) default värdena är acceptabla i de flesta lägena och behöver därför inte förändras, med undantag av Responsible person. Serial number representerar versionsnumret. Varje gång du gör en ändring i zonen så ökas detta nummer med ett. Sekundära servrar använder Serial number för att kunna räkna ut om de har den senaste kopian av zonen. Skiljer sig versionsnumret, d vs om den primära servern har ett större Serial number än den sekundära startar den sekundära servern en zontransfer för att hämta hem den senaste versionen av zon filen. OBS! Man kan bara ta bort eller lägga till resource record på den primära servern, de sekundära servrarna hämtar sedan zonerna från de primära, och detta görs med hjälp av serial number. Man får alltså inte lägga/ta bort till resource record på en sekundär DNS server. Primary Server är namnet på den primära servern för domänen. Responsible person skall innehålla e-postadressen till administratören för DNS servern. Refresh interval är den tid sekundära servrar väntar mellan försöken att uppdatera kopian av zone filen. Retry Interval är den tid en sekundär server väntar (efter ett felaktig försök att uppdatera sin zone fil) innan den försöker igen. Detta intervall är kortare än Refresh interval. Expires after är den tid sekundära servrar kommer att försöka att svara på förfrågningar från denna zon efter en lyckad uppdatering. Om den sekundära servern inte kan uppdatera sin kopia av zonen innan denna tid har gått ut, slutar den att svara på klienters DNS förfrågningar för zonen. Tiden på detta skall inte vara längre än Refresh interval. Minimum (default) TTL detta fält specificerar den minimala tid andra DNS servrar skall lagra (cache) förfrågningar som tagits emot från denna DNS server. TTL for this record anger den tid andra DNS servrar skall lagra denna DNS serverns Start of authority(SOA) -record när de begär och tar emot den. Fliken Name Servers visar en lista på de DNS servrar som hanterar denna zon. Fliken WINS hoppar vi över eftersom man oftast inte behöver använda WINS längre. Inställningarna i fliken Zone Transfers anger hur denna zon hanteras av andra sekundära DNS Servrar. Som standard är zonen konfigurerad att tillåta Zone Transfers till vilken sekundär server som helst. Om du vill skydda din zon's data, kan du konfigurera zonen till att bara överföra kopior av zonen till Only to servers listed on the name servers tab eller Only to the following servers. Skapa DNS Resursposter manuellt Man kan skapa sina resursposter manuellt om man vill detta. Starta DNS Manager. Högerklicka på den zonen du vill lägga till resursposten i, exempelvis i Forward Lookup zones, Dataskolan.local och välj från menyn. New Host (A or AAAA) A-Poster används i Forward Lookup zones för att koppla ett namn till en IP-adress. Heter domänen t.ex. dataskolan.local och man skapar en New Host som man kallar www och kopplar detta namn till en IP-adress (t.ex. 192.168.136.120) kommer det se ut ungefär så här i zonfilen. www.dataskolan.local IN A 192.168.136.120 Om man gör ett DNS-uppslag mot www.dataskolan.local så får man svaret 192.168.136.120 Samtidigt kan man också ange att en Pointer record, PTR, skall skapas. Dessa används för omvända sökningar, IP-adress till namn, i Reverse Lookup Zones (136.168.192.in-addr.arpa). Det behövs om någon önskar göra en Revese Lookup, dvs. fråga vad hosten heter som har en viss IP-adress. New Alias (CNAME) CNAME eller poster över vedertagna namn, är alias för hostname. Om ett hostname skall översättas och en CNAME-post återfinns kommer DNS att använda CNAMEposten så länge inte en A-post återfinns. CNAME-poster kan alltså användas för att ange ytterligare namn för en host. Om du till exempel vet att dina webb- och ftp-servrar alltid kommer att köras på samma dator skall du ange följande två poster. www.dataskolan.local IN A 192.168.136.120 ftp IN CNAME www.dataskolan.local New Mail Exchanger (MX) MX-poster används för att ange IP-adress till mailserver för hostnamnet. Exempelvis till vilken server som e-post till info@dataskolan.local skall skickas. Verktyget NSLOOKUP Verktyget NSLOOKUP används för att ställa frågor mot en DNS-Server. Det finns mycket information fritt tillgänglig om värddatorerna på Internet. Nslookup är ett Unixprogram som bland annat hjälper dig att kontrollera namn mot IP-adress och tvärt om. I likhet med finger, ping och traceroute är programmet nslookup (Name Server lookup) ytterligare ett bra verktyg för den vetgirige Internetanvändaren. Idag innehåller i stort sätt varje TCP/IP-mjukvarupaket en nslookup-funktion. Vad gör man då med nslookup? Jo, till att börja med ger nslookup (som namnet antyder) möjlighet att söka i de domännamn-databaser (DNS) som finns på Internet/Intranet. Precis som ping håller även nslookup reda på namn kontra IP-adress. Känner man till en IP-adress, men inte namnet på datorn kan nslookup fixa fram det. Givetvis fungerar nslookup också tvärtom. För att t.ex. få fram IP-adressen för skolportalen.se skriver man i kommandotolken, CMD: Informationen vi får ovan innebär: quigon.starwars.local är den DNS-server som svarat på förfrågan, den lokala DNS-servern. 192.168.0.12 är IP-adressen till den DNS-server som svarat på förfrågan. Icke-auktoritärt svar innebär att svaret vi får kommer från en DNS-server som i sin tur fått detta svar från en annan DNS-server. Adress är IP-adressen till den efterfrågade domänen. Vi kan då konstatera att värddatorn skolportalen.se har IP-adressen 192.71.238.76, Givetvis går det att vända på steken och skriva nslookup ipadress följt av retur för att få fram namnet på den värddator du vill veta mer om. Om namnet råkar vara ett alias kommer det riktiga värddator-namnet att uppenbaras. Det är viktigt att man har kontakt med en namnserver när man skickar sina förfrågningar. I de allra flesta fallen kontaktas en förinställd (default) namnserver när man startar nslookup. Interaktiva funktioner Okej, men vi har inte på långa vägar stillat vår nyfikenhet angående värddatorn skolportalen.se. Nästa sak att göra är att starta nslookups interaktiva funktioner. Skriv kommandot nslookup i kommandotolken utan något efter det. C:\>nslookup Då startas ett DOS-program. Du får då en ny prompt som ser ut så här: > Nu måste vi tala om för nslookup vilken typ av förfrågan vi vill göra. Skriv set querytype=any följt av retur. Det betyder att vi får den allmänna informationen som finns tillgänglig om värddatorn. Då får du en ny liten prompt: > Skriv sedan namnet på den värddator som du vill veta mer om följt av retur. > Movant.se Informationen ovan talar om att de båda namnservrarna, DNS-servrarna, för Movant.se är ns1.academedia.se och grace.qbranch.se och kristina.qbranch.se samt maud.qbranch.se man får även reda på deras IP-adresser. Man får också veta serial number och TTL-tid samt innehållet i MXpekaren. För att få veta adressen till de olika tjänsterna för Movant.se, till exempel www och ftp, måste man gå vidare och ange dessa i nslookup. Här får man nu reda på namnet på webbservern för www.Movant.se, faktiskt är Movant.se och dess IP-adress, 185.20.13.50 . Vill man komma åt andra uppgifter och få hjälp om nslookup så hittar man dem genom att skriva ett frågetecken vid nslookup-prompten: >? Man avslutar nslookup med att skriva EXIT. Gör nu övningarna i Arbetsboken till kapitel 24 25. DHCP DHCP, Dynamic Host Configuration Protocol, har vi tagit upp i tigigare kapitel av denna bok. Nu skall vi titta lite närmare på hur detta konfigureras och används i Windows Server 2022. Installera och konfigurera DHCP Server I Windows Server 2022 följer det med en Dynamic Host Configuration Protocol (DHCP) -tjänst. DHCP leder och styr samt tilldelningen av TCP/IP konfigurerings information genom att automatiskt tilldela IP adresser till datorer som är konfigurerade att använda DHCP. Att implementera DHCP minimerar några av konfigureringsproblemen som medför en manuell konfigurering av TCP/IP. När en klient startar upp så kan den erhålla IP adress, Subnetmask, Default gateway, DNS server och NetBIOS (WINS) server adress .Vid uppstart av klient erhåller servern en fråga om en ledig adress finns, Servern tittar i sin adress pool om det finns en ledig adress, samt erbjuder den lediga adressen till klienten. OBS!! MYCKET VIKTIGT!! Innan du börjar installation av DHCP på servern, se till så att du har isolerat den från övriga nätverket på skolan eller arbetsplatsen. Det kan man göra till exempel med en Router. När DHCP- servern börjar dela ut IP-adresser så kan den annars göra det till övriga datorer i nätverket vilket resulterar i att dessa inte längre kommer åt rätt server och andra resurser på nätverket. Praktisk uppgift - Installation av DHCP Innan man installerar DHCP-tjänsten på sin server måste TCP/IP vara installerat samt konfigurerat med en fast IP adress. Man lägger till en ny roll, Role, i Server Manager. Välj Add Role och bocka för DHCP Server. Följ sedan de olika stegen i guiden så installeras och konfigureras DHCP-tjänsten. Först visas lite information om tjänsten samt några viktiga saker att tänka på innan man går vidare. Man måste ha en fast IP-adress och man bör ha gjort en IP-plan för sitt nätverk. Efter installationen skall man gå igenom stegen i DHCP Post-Install. Bekräfta med ett administratörskonto om du vill ha DHCP-servern auktoriserad i AD. Att auktorisera DHCP-servern i AD är en säkerhetsåtgärd för att förhindra att icke auktoriserade servrar börjar dela ut IP-adresser på nätverket. Praktisk uppgift - Konfiguration av DHCP DHCP-servern är nu installerad och i gång men innehåller ännu inget att dela ut. Starta DHCP Manager under Tools i Server Manager. Högerklicka på IPv4 och välj New Scope. I nästa steg anger du önskat namn på Scopet. Ange startadress och slutadress samt längden på subnetmasken (subnet mask räknas ut automatiskt). I nästa steg kan man ange adresser som eventuellt skall undantas inom angivet adressområde. Man kan dessutom ange en tidsfördröjning innan DHCP-servern svarar på hyresförfrågningar. Därefter anger man längden på lånetiden. Efter detta får man frågan om man vill ange DHCP-options. Svara Ja på detta. Förts steget under DHCP-options är att ange Default gateway. Nästa steg är att ange DNS-server. Denna kan finnas angiven redan om DHCP-servern är auktoriserad i AD. WINS-server kan anges om man har behov av detta. Slutligen kan man aktivera scopet direkt eller vänta med detta. Auktorisera en DHCP Server i Active Directory När väl DHCP Server tjänsten är installerad på en Windows Server som är medlem i domänen (Member server eller en domänkontrollant) så måste den bli Auktoriserad i Active Directory innan själva tjänsten kan starta. Meningen med att auktorisera DHCP servern i Active Directory är att förhindra icke auktoriserade DHCP servrar från att kunna ge ut IP adresser till klienterna. Man kan föreställa sig att man konfigurerat en DHCP server som lånar ut IP adresser inom ett visst område (t.ex 192.168.0.20-50). Sedan installeras en annan DHCP server i nätverket som delat ut samma adressområde som ovan vilket resulterar i kaos. Detta har nu förhindrats p.g.a. att det är bara administratören som kan auktorisera DHCP servrar i nätverket och han har förmodligen dokumentation på vilka IP adresser som redan lånas ut. Då uppstår inte heller dessa konflikter. OBS! En Server som har DHCP installerat och inte är med i domänen behöver inte auktoriseras. Då kan samma fel uppstå som nämnts ovan. Konfiguration och underhåll av DHCP När DHCP-servern väl är installerad så kan man gå in DHCP Manager för att underhålla, administrera och konfigurera den. Man kan Starta, Stoppa, Pausa och Starta om själva DHCP-servern. Vidare kan man markera IPv4 och högerklicka för att ange ytterligare alternativ. Här kan man skapa nya Scope. Det finns tre typer av DHCP scope man bör känna till. Scope: Detta är ett "vanligt" Scope sådant som vi skapat i samband med installationen. Superscope: Denna typ av scope (adressområde) används för multipla adressområden. Multipla adressområden (superscope) medger att en DHCP server tilldelar IP adresser i flera logiska subnät. Multicast scope: Adressområden av multicast-typ är utformade för multimediaklienter som har behov att delta i flera samverkande programsessioner. (tar vi ej upp i denna bok) För att skapa nya Scope så väljer man önskad typ och följer guiden. Det fungerar på ungefär samma sätt som vid den ursprungliga konfigurationen vid installation av DHCP. Vilka adresser är utlånade? En administratör skall periodvis titta till DHCP servern för att försäkra sig om att allt står rätt till. Under Address Leases visas alla utlånade IP-adresser. Om man vill stoppa ett lån till en klient så kan man ta bort detta genom att högerklicka på klientdatorns lån och välja Delete. Konfigurera DHCP Alternativ DHCP alternativ är alternativa inställningar som man kan skicka med en DHCP klient som till exempel IP adressen till routers, DNS och WINS servar. Man kan sätta dessa alternativ genom att använda Server Options eller Scope Options. När man väljer Server Options så appliceras de på samtliga scope man har i sin DHCP server. Väljer man i stället att konfigurera under Scope Options appliceras det endast på det scope man valt. Inställningar man satt under Scope Options kommer att skriva över inställningarna man gjort under Server Options vid en konflikt. Högerklicka på Server Options eller på det aktuella Scopet (under Scope Option) och välj Configure Options i snabbmenyn. Kryssa för vilka options som skall ingå i Scopet och ange egenskaperna för det markerade alternativet. Vanliga Scope Options Valet av nodtyp under 046 WINS/NBT node type innebär följande: TIPS FRÅN VERKLIGHETEN... Om du har behov av WINS i ditt nätverk, se till att alltid skicka med 044 som anger WINS adress och 046 som anger nodtyp. Ange också nodtyp 8-H-node. Med andra nodtyper blir det antingen onödig broadcast-trafik på nätet eller så riskerar man att inte få kontakt med nätverket överhuvudtaget om WINS servern inte kan nås. Tips från verkligheten... Man kan alltså lägga upp flera Scope på sin DHCP-server med olika inställningar för till exempel kabelanslutna datorer och de som ansluter trådlöst. Konfigurera DHCP för DNS integration Alla Windows-datorer som har TCP/IP installerat registrerar sina IP adresser och värd namn dynamiskt med DNS Servern som finns på nätverket (om DNS servern stödjer dynamiska uppdateringar). Alla datorer stödjer inte dynamisk uppdatering som till exempel Windows NT/95/98 och är inte kapabla att kunna registrera sina IP adresser och värdnamn dynamiskt med DNS Servern. För att komma över denna spärr som dessa klienter har kan man konfigurera DHCP servern till att göra dessa registreringar åt dem. För att man skall kunna implementera detta krävs det att DNS servern stödjer dynamiska uppdateringar. Om din DNS server är en Windows Server 2003 eller senare så skall du inte ha några problem tack vare att dessa stödjer dynamiska DNS uppdateringar fullt ut. Högerklicka på själva Scopet i och välj Properties. För att konfigurera DHCP servern att kunna registrera IP adresser och värdnamn dynamiskt för Windows 95/98/NT klienter kryssar man i den nedersta rutan i bilden. Om du vill att DHCP servern skall uppdatera DNS servern för Windows-klienter, även om inte klienten har begärt att uppdateringen skall göras, kryssa då i Always dynamically update DNS. Detta innebär att DNS servern alltid har det nyaste namn registreringen. Network Access Protection, NAP Med funktionen Network Access Protection, NAP, kan man ställa upp ett antal olika krav på de klientdatorer som skall få tillgång till nätverket och dess olika resurser, tjänster och funktioner. Man kan koppla ihop NAP med DHCP för att se till att icke betrodda datorer erhåller en IP-adress. Reservationer Man kan lägga upp en eller flera reservationer av IP-adresser i DHCP-servern. Detta gör man om man vill att en klient alltid skall erhålla samma IP-adress. Det styrs då av klientens MACadress och IPadressen man reserverar kommer alltså inte att delas ut till någon annan. Tips från verkligheten... När man ansluter en enhet på nätverket och denna är konfigurerad att erhålla IP-adress via DHCP så registreras enheten i DHCP-servern. Detta kan man utnyttja då man vill logga in och konfigurera nätverksutrustning som saknar denna möjlighet direkt på utrustningen. Om man till exempel ansluter en skrivare, en switch eller en accesspunkt så vill man oftast konfigurera denna men vet inte vilken IP-adress den har. Då kan man gå in i DHCP-servern under Adress Leases. Här visas alla utlånade IP-adresser och enheten finns då med i denna lista. Sen är det bara att surfa in på enhetens IP-adress då de flesta enheten har webbgränssnitt för konfigurationen. Gör nu övningarna i Arbetsboken till kapitel 25 26. ANVÄNDARKONTON OCH BEHÖRIGHETER Alla användare som skall logga in i datorn behöver ha ett Användarkonto. Användarkontot innehåller följande uppgifter om användaren: Användarkontots namn, Personens namn och en valfri Beskrivning. Dessutom är ett Lösenord kopplat till användarkontot. Användarkontots namn behöver alltså inte vara samma som personens namn. För en person med namnet Kalle Karlsson kan kontot till exempel heta Kalle, Kallek eller kanske KaKarl. Det finns också användarkonton som utnyttjas av tjänster, dessa brukar benämnas för Servicekonton. Användarkonton Man har ofta två olika uppsättningar med användarkonton. Varje Windows dator har lokala användarkonton. Om datorn är medlem i en domän har man också användarkonton i domänen. De lokala kontona kan man endast använda om man vill logga in lokalt i just den datorn. Med ett domänkonto kan man logga in till vilken dator som helst i domänen (styrs av rättigheter). Vitsen med att använda domänkonton i stället för lokala konton är att man då har en central administration via servern. Vi kommer i denna bok endast att behandla de lokala kontona. Hantering av domänkonton tas upp i våra läroböcker i Lokala Nätverk. Till varje konto skapas automatiskt ett SID, Security ID. Detta är en unik nyckel som kopplas till kontot för att kunna skilja konton från varandra. Det används bland annat för att koppla ett konto till fil- och katalogbehörigheter. När man loggar in i datorn är som standard användarens eget konto förvalt. Man kan man dock välja ett annat konto att logga in med. Klicka på önskat konto att logga in med. Det finns två typer av konton i Windows med olika behörigheter. Administratörskonton och Standardkonton. Administratörskonton har fullständiga rättigheter till alla funktioner och program i datorn samt normalt även full behörighet till alla mappar och filer. En användare med ett standardkonto har full behörighet till användarens egna mappar och filer samt till gemensamma mappar men inte till andra användares mappar och filer. Han kan köra de flesta program i datorn men har inte rättigheter att installera eller avinstallera program eller maskinvara. Efter installation av Windows 10 finns oftast ett konto för datorns användare, det skapades under installationen. Detta konto är ett administratörskonto. Dessutom finns två inbyggda konton, Administratör och Gäst. Dessa är från början inaktiverade och kan då inte användas. Regler för namngivning av konton Innan vi går in på hur man skapar användarkontona så skall vi titta lite på hur man brukar namnge dem. Man måste nämligen ha unika namn för varje konto. I en lokal dator med Windows 10 så har man oftast inte så många konton. Därför så kan man oftast använda sig av personens förnamn som kontonamn, det blir då enkelt att komma ihåg. Kontot får heller inte ha samma namn som en grupp eller som datorn. En person som heter Johan kan alltså inte både döpa sin dator (NetBIOS namnet) och användarkontot till Johan. Namnge i stället datorn till något annat. Ett användarkonto kan bestå av både bokstäver och siffror. Man gör här inte någon skillnad på små och stora bokstäver. När man anger sitt användarID för att logga in så kan man valfritt skriva med stora eller små bokstäver. (Detta i motsats till lösenord som ju måste skrivas exakt som det är). Följande tecken är inte tillåtna i ett kontonamn: "/[],: ;=+*?\<> | Lösenord Om lösenord kan man diskutera en hel del. Det är ofta mycket viktigt att använda lösenord för att så långt som möjligt förhindra intrång i datasystemen. Att då använda och hantera lösenord på rätt sätt är mycket viktigt. Exempel på mindre bra sätt är följande: • Att alltid använda samma lösenord. • Att inte behöva använda lösenord alls. • Att som lösenord använda namnet på en familjemedlem eller sitt husdjur. • Att ha lösenordet uppskrivet på en lapp på skärmen eller under skrivbordsunderlägget. • Att ha korta lösenord. De allra bästa lösenorden är s.k. Starka lösenord. Vanliga lösenord kan bestå av endast antingen små eller stora bokstäver eller eventuellt en sifferkombination. I starka lösenord måste man däremot blanda både små och stora bokstäver samt siffror. Helst även olika specialtecken. Det är mycket svårare att forcera starka lösenord. Detta både på grund av att de inte utgörs av några speciella ord och att man har fler tecken till förfogande. Med både små och stora tecken samt siffror och specialtecken kan man ha över 70 tecken att välja mellan. Då får man många gånger högre säkerhet än med bara alfabetets 28 bokstäver. Exempel på starka lösenord är: TyK89c5 p9rX-5b g@Tj85 Tips från verkligheten... Man kan aldrig läsa ett lösenord (tidskrävande och kräver specialverktyg och en andra dator). Om en användare glömt sitt lösenord så kan man logga in som administratör och återställa lösenordet, d.v.s. ange ett nytt lösenord. Man kan inte någonstans enkelt se vilket lösenord som en användare har. Ändringar för aktuellt konto Om man vill ändra lösenord för sitt konto trycker man <Ctrl><Alt><Del> och väljer Ändra lösenord. Om man vill göra ändringar för kontot så går man in i Användarkonton under Kontrollpanelen. Utseendet och de tillgängliga valen under Användarkonton i Kontrollpanelen är olika beroende på om datorn är medlem i en domän eller inte. På bilderna nedan är datorn fristående. Här kan man ändra lösenord, byta inloggningsbild, ändra kontonamn och kontotyp. När datorn är fristående och ej medlem i en domän så kan man byta lösenordet och även ange en lösenordsledtråd samt även ange behörighetstyp för kontot. Klicka på ”Add new user in PC settings” Inte helt enkelt eller logiskt, välkommen till Windows 10. Skapa ett nytt konto Att skapa ett nytt konto när datorn är fristående är också mycket enkelt. Välj Skapa ett nytt konto i startfönstret för Användarkonton i Kontrollpanelen. Sedan anger man kontots namn och behörighetstyp och klickar på Skapa konto. När kontot är skapat så anger man lösenord och eventuella ändringar på samma sätt som beskrivits ovan. Hantera inloggningsuppgifter I Windows 10 finns även möjlighet att lagra inloggningsuppgifter inklusive lösenord till olika datorer och webbplatser. De lagrade lösenorden är kopplade till ditt användarkonto och lagras krypterat i datorn så att ingen annan skall kunna läsa dem. När man sedan skall besöka en webbplats eller logga in på en server så hämtas automatiskt lösenordet från den lagrade listan och man slipper uppge det. Från Kontrollpanelen eller Användarkonton klickar man på Hantera inloggningsuppgifter. Inloggningsuppgifterna sparas i ett Windows-valv. Man har även möjlighet att säkerhetskopiera detta för att sedan återställa på denna eller på en annan dator. Säkerhetskopiering av lösenord När man har en dator som ej är medlem i en domän så kan man säkerhetskopiera sina lösenord till en flyttbar disk, t.ex. ett USB-minne. Klicka på Skapa en disk för återställning av lösenord i startfönstret för Användarkonton. Hantera användarkonton i dator ansluten till en domän Om datorn är ansluten till en domän så ser det lite annorlunda ut. Under Kontrollpanelen Användarkonton visas det aktuella konton som användaren är inloggad med. För att lägga till eller ta bort konton samt göra andra ändringar så klickar man på Hantera användarkonton. Under fliken Användare visas alla lokala konton som är upplagda i datorn samt eventuella domänkonton som har använts. Här kan man lägga till eller ta bort konton samt ange egenskaper för dem. Man kan också återställa lösenordet för ett lokalt konto (annat än det man är inloggad med). Under fliken Avancerat kan man hantera lagrade lösenord samt utföra avancerad användarhantering och ange om man skall kräva att användare trycker <Ctrl><Alt><Del> för att logga in. Detta rekommenderas då det innebär högre säkerhet. Grupper Användarkonton kan vara medlem i olika grupper. I en domän finns flera det olika typer av grupper, i en fristående dator finns endast Lokala grupper. Grupper kan tilldelas olika systemrättigheter och behörigheter till mappar och filer i datorn. Genom att därefter göra användarkonton medlem i dessa grupper så erhåller även kontona dessa systemrättigheter och behörigheter. Då slipper man tilldela behörigheter separat till flera olika konton. Inbyggda grupper I en dator med Windows 10 finns från som standard ett flertal inbyggda grupper. Följande lokala grupper kan vara bra att känna till: Under Avancerad användarhantering kan man visa alla lokala grupper. En lokal grupp kan ha följande konton/grupper som medlemmar: • Lokala användarkonton • Lokal inbyggda specialgrupper • Grupper från domänen • Användarkonton i domänen Gruppen Administratörer har som standard det lokala kontot Administratör samt, om datorn är medlem i en domän, domängruppen Domänadministratörer (Domain Admins) som medlemmar. Avancerad användarhantering För att skapa nya användarkonton, ta bort konton och ändra samtliga egenskaper för användarkonton så går man in under Avancerad användarhantering. Här får man en lista på alla Lokala användarkonton och Lokala grupper. För att ange egenskaper för ett konto så dubbelklickar man på det eller högerklickar och väljer Egenskaper. Under fliken Allmänt så visas kontots namn, personens fullständiga namn och en valfri beskrivning. Dessutom kan man med kryssrutor ange olika egenskaper för kontot. Under fliken Medlem i anges i vilka Grupper som kontot är medlem. Förklaras i nästa avsnitt. Under fliken Profil anges sökväg till användarprofil och hemkatalog samt till eventuellt inloggningsscript. Detta tar vi upp i våra böcker inom Nätverk. Skapa användarkonton För att skapa ett nytt användarkonto så klickar man på mappen Användare och väljer menyn Åtgärd - Ny användare. Man kan också högerklicka på en tom yta eller välja från Fler åtgärder längst till höger. Ange önskade uppgifter avseende Användarnamn, Fullständigt namn, en valfri Beskrivning och ett Lösenord. Ange även övriga egenskaper. Som standard är angivet att användaren måste byta lösenord vid nästa inloggning. Detta är till för att användaren själv skall kunna välja sitt lösenord. Observera att lösenorden måste uppfylla de lösenordsregler som gäller för datorn. Klicka på Skapa så är kontot skapat. Skapa lokala grupper För att skapa en ny grupp så klickar man på mappen Grupper och väljer menyn Åtgärd - Ny grupp. Man kan också högerklicka på en tom yta eller välja från Fler åtgärder längst till höger. Ange önskat namn på gruppen och en valfri beskrivning. Man kan sedan direkt om man önskar lägga till medlemmar i gruppen. Klicka på Skapa så är gruppen skapad. Ta bort användare och grupper För att ta bort ett användarkonto eller en grupp så markerar man den och trycker på <Delete>. Man kan också högerklicka och välja Ta bort. Ange medlemmar i en grupp Det finns två sätt att ange vilka konton som skall vara medlemmar i de olika grupperna. För att ange medlemmar i en grupp så dubbelklickar man på gruppen eller högerklickar och väljer Egenskaper. Man kan också för varje användarkonto ange vilka grupper som detta skall vara medlem igenom att gå in under fliken Medlem i. Klicka på Lägg till för att lägga till konton/grupper. I nästa fönster kan man skriva in det önskade namnet om man känner till det och klicka på Kontrollera namn. Vill man i stället ha en lista över namnen kan man klicka på Avancerat. Här kan man ange eventuellt sökvillkor eller direkt klicka på Sök nu. Användarkonton och domännamn. Det fullständiga namnet på ett konto utgörs av kontot samt domännamnet. För lokala konton är domännamnet ersatt med datornamnet. På detta sätt får man ett unikt namn eftersom samma kontonamn kan finnas i olika domäner och även som ett lokalt konto. Det fullständiga kontonamnet anges enligt följande: domännamn\kontonamn. Ändra och återställa lösenord Om man vill ändra lösenord för sitt konto trycker man <Ctrl><Alt><Del> och väljer Ändra lösenord. För att ändra lösenord på ett annat konto, d.v.s. återställa ett lösenord, så kan man högerklicka på önskat användarkonto och välja Ange lösenord. Observera att krypterade filer, lagrade lösenord och personliga säkerhetscertifikat går förlorade om man byter lösenord på detta sätt. Om en användare glömt sitt lösenord är det mycket bättre att återställa det från en säkerhetskopia på en diskenhet. Användarkonton och SID Varje lokalt användarkonto i en dator är unikt och måste ha olika namn. Namnet får inte heller vara samma som namnet på en grupp. Det är dock inte namnet som är den unika identifieringen för kontot utan den s.k. SID, Security Identifier, vilket är ett långt siffervärde. Om man tar bort ett användarkonto så kan viss information kopplad till kontot fortfarande finnas kvar, till exempel gällande behörigheter till mappar och filer. Denna är då kopplad mot kontots SID. Antag att man har ett konto som heter till exempel Kallek och skapar behörigheter för detta konto. När man sedan tar bort detta konto finns behörigheterna kvar. Om man senare skapar ett nytt konto, även detta med namnet Kallek, så blir det ett nytt SID för det nya kontot. Det nya kontot erhåller då inte samma behörigheter som det gamla med samma namn. Om ett konto inte skall användas under en tid är det i så fall bättre att inaktivera det under denna tid. Då förlorar man inte behörighetsinställningarna för kontot. Systemkonton Förutom vanliga användarkonton finns även s.k. Systemkonton. Detta är konton som används av olika program och funktioner i operativsystemet. Dessa behöver ha ett konto att agera genom för att utföra olika åtgärder i systemet. Bland annat behövs ofta systemkonton för att utföra olika webbtjänster. Ett annat exempel är då man har installerat ett separat program för backup och återställning. Då behöver det finnas ett systemkonto som detta program kan utnyttja då det säkerhetskopierar filer. Detta systemkonto gör man lämpligtvis medlem i den lokala gruppen Ansvariga för säkerhetskopiering så får man de rättigheter som behövs. Profiler För varje användarkonto, både lokala konton och domänkonton, som loggat in på en dator skapas en Användarprofil. Profilen består av användarens personliga mapp och alla dokument och undermappar i denna. Standardsökvägen för denna är C:\Användare\Användarnamn. I användarens personliga mapp finns de vanliga mapparna Dokument, Musik, Bilder med flera samt den dolda mappen AppData. Denna innehåller ett flertal undermappar där diverse inställningar som görs i olika program sparas. Tack vare att dessa sparas i användarprofilen så blir de unika för varje användare. Data för olika program sparas också i profilen. Det gäller t.ex. e-post i Outlook samt sparad data i MSN messenger. Ibland kan man vilja hantera profiler, radera en profil för en användare som tagits bort eller kopiera data från en profil till en annan. Det gör man under Systemegenskaper. Högerklicka på Dator i Startmenyn och välj Egenskaper eller välj System i Kontrollpanelen. Klicka på Avancerade systeminställningar. Öppna fliken Avancerat och klicka på Inställningar under Användarprofiler. Här visas nu alla profiler som finns på den här datorn. Hantera profiler Profiler kan vara av två typer, lokal profil eller central profil. Lokala profiler lagras på den lokala datorn och centrala profiler lagras på en server. Fördelen med en central profil är att man kan logga in med valfri dator i nätverket och ändå få sin egen profil. Centrala profiler tas upp i våra läroböcker i Lokala Nätverk. För att kopiera en profil till en ny profil för ett annat konto så måste först den nya profilen ha skapats. Det görs genom att logga in en gång med det nya kontot och sedan logga ut. Systemrättigheter Systemrättigheter avser vilka rättigheter en användare har att utföra olika åtgärder i operativsystemet. Exempel på rättigheter är att logga in på datorn lokalt, att logga in på datorn via fjärrskrivbord, att utföra säkerhetskopiering och att avsluta datorn. Systemrättigheter är som standard tilldelade olika grupper. De grupper som används är de inbyggda lokala grupperna såsom Användare, Administratörer, Ansvariga för säkerhetskopiering osv. Systemrättigheter anges under Lokal Säkerhetsprincip som man hittar under Administrationsverktyg i Kontrollpanelen. Gå in under mappen Lokala principer och Tilldelning av användarrättigheter. För att tilldela rättigheter till en användare eller en grupp så dubbelklickar man på önskad rättighet. Under fliken Lokal säkerhetsinställning klickar man på Lägg till användare eller grupp för att ange dessa. Under fliken Förklaring visas en utförligare förklaring av rättigheten. Rättigheter som kan vara bra att känna till är Säkerhetskopiera filer och mappar, Återställa filer och mappar, Tillåt lokal inloggning och Åtkomst till den här datorn från nätverket. Tips från verkligheten... Dra nytta av grupper när du arbetar med systemrättigheter och behörigheter till filer och mappar. Tilldela rättigheter och behörigheter till grupper, använd gärna de inbyggda lokala grupperna eller skapa egna om du föredrar detta. Gör sedan användarkontona medlemmar i dessa grupper så erhåller de önskade rättigheter och behörigheter. Om du senare vill lägga till någon ytterligare användare med liknande rättigheter så behöver du bara göra den nya användaren medlem i någon av de befintliga grupperna. Behörigheter till mappar och filer I Windows 10, liksom i alla tidigare versioner av Windows i NT-familjen, kan man ange behörigheter till filer och mappar. Man kan ange vilka användare som har tillåtelse att öppna, skriva och ändra i filer samt lägga till och ta bort filer och mappar i datorn. För att kunna ange behörigheter till filer och mappar så måste partitionens filsystem vara NTFS. Detta är det enda som stöder behörigheter. Eftersom disketter och CD-ROM skivor inte kan hantera NTFS så kan man alltså inte ange behörigheter till filer på dessa medier. De filsystem som användes i Windows 95/98/Me, FAT och FAT32 kan inte användas för att ange behörigheter. Därför kunde man inte ange detta i dessa Windowsversioner. Om man har filsystemet NTFS på en partition är denna inte längre åtkomlig från MS-DOS och Windows 95/98/Me. Man kan alltså inte boota datorn med en MS-DOS bootdiskett och kopiera en fil till eller från en hårddisk med NTFS. Alltså är filer på en NTFS-enhet automatiskt skyddade för åtkomst med Windows 95/98 etcetera. Filsystemet NTFS kopplar en behörighetsinformation till varje fil och mapp. De användarkonton och grupper som har behörighet till objektet läggs in med sina respektive SID, Security ID i objektets ACL, Access Control List. Att man har NTFS och angett begränsade behörigheter för användarkonton innebär att åtkomsten till filer begränsas, både över nätverket och lokalt i datorn. Det är alltså inte säkert att en användare har full behörighet till alla filer i sin egen dator. Detta är det stora skillnaden mellan operativsystemen Windows 95/98/Me och Windows NT/2000/XP. I Windows 95/98/Me har man ingen som helst säkerhet på användarnivå. Behörigheter anges genom att högerklicka på önskad mapp eller fil och välja Egenskaper. Under fliken Säkerhet visas de aktuella behörigheterna för olika användarkonton och grupper. Man kan ändra behörigheter genom att klicka på Redigera. Här väljer man först önskad Grupp eller Användarkonto och anger sedan vilka behörigheter som skall gälla för denna genom att klicka i Tillåt eller Neka för olika behörighetsnivåer. Behörigheter till mappar Som standard gäller att alla nya filer och mappar som skapas i en mapp ärver dennes behörigheter. Speciella regler gäller för filer som kopieras in till mappen, se längre fram i detta kapitel. Dessa är behörighetsnivåerna man som standard kan ange till en mapp: Behörigheter till filer Vanligtvis gäller att alla filer i en mapp har samma behörighet som mappen. Man kan dock ange avvikande behörigheter till en fil om man så önskar. När olika mapp- och fil behörigheter samverkar så gäller att behörigheten till Filen tar överhand. Dessa är behörighetsnivåerna man som standard kan ange till en fil: Att ange behörigheter För att ange behörighet till en fil eller mapp tar man fram Egenskaperna. Högerklicka på önskat objekt och välj Egenskaper. Det ser lite olika ut beroende på om man tittar på en fil eller på en mapp. Behörigheter anges under fliken Säkerhet. Översta fönstret visar användarkonton och grupper. Det nedre fönstret visar vilka behörigheter som det markerade kontot/gruppen har. För att ange en behörighet för en användare så lägger man först till användarens konto genom att klicka på Lägg till. Välj ut det konto eller den grupp som önskas på liknande sätt som tidigare. Klicka därefter i kryssrutorna för önskad behörighet. Varje behörighet kan anges med Tillåt och Neka. Det finns alltså tre olika möjligheter, Tillåt eller Neka eller att ingen av dessa är ikryssad. (Tillåt och Neka kan ju inte vara kryssade samtidigt). Tillåt innebär att personen har denna behörighet. Neka innebär att personen inte har behörigheten. Om ingen av dessa är angivna är behörigheten ej angiven. Så här hänger det ihop: - Ett konto kan ju vara medlem i flera grupper. Man kan ange behörighet för varje av dessa grupper och även för kontot. - En person har angiven behörighet om antingen kontot, eller någon av grupperna som kontot är medlem i, har markerats som Tillåt. - En person nekas angiven behörighet om antingen kontot, eller någon av grupperna som kontot är medlem i, har markerats som Neka. - Om personen (tack vara medlemskap i olika grupper) både har Tillåt och ej angiven så gäller Tillåt. - Om personen (tack vara medlemskap i olika grupper) både har Neka och ej angiven så gäller Neka. - Om personen (tack vara medlemskap i olika grupper) både har Tillåt och Neka så gäller Neka. Denna har högst prioritet. Vi tar ett exempel, anta att vi har en användare, Nisse Nilsson, som vi vill ge möjlighet att läsa filerna och köra programmen i en viss mapp. Vi tar då fram egenskaperna för mappen och fliken Säkerhet. Om inte användarens konto redan finns angivet i det övre fönstret så lägger vi till det. Vi markerar personens konto. Därefter så kryssar vi i Läsa och Köra, Visa mappinnehåll och Läsa. Om man vill ändra behörigheten för en redan vald person eller grupp så markerar man denna i det övre fönstret och kryssar eller tar bort kryss i det nedre. Om man vill ta bort en person eller en grupp från listan så markerar man denna och klickar på Ta bort. Användare Behörigheter Behörigheterna som vi gått igenom hittills är de vanligaste. Dessa räcker för det mesta. Man har dock även Avancerade behörigheter som man kan ange. De vanliga standardbehörigheterna är specialfall av de Avancerade. För att ange avancerade behörigheter så klickar man på Avancerat under Allmänt och sedan på Ändra behörigheter. Ärvda behörigheter Filsystemet är inställt så att behörigheterna ärvs till nya objekt som skapas eller kopieras in i en mapp. Om man skapar en undermapp så kommer denna automatiskt att få samma behörighetsinställningar som den överordnade mappen. Detsamma gäller om man skapar eller kopierar in en fil, den får också samma behörigheter som mappen som den skapas i (att kopiera in en fil är ju samma sak som att skapa en ny fil med samma innehåll som originalet). Den nya mappen eller filen kommer då att ha Ärvda behörigheter från mappen som den skapas i. Att man har ärvda behörigheter syns på att kryssrutorna i behörighetsinställningarna är gråmarkerade. En ärvd behörighet går inte att ändra på objektet utan måste ändras i den överordnade mappen. Om man vill ta bort funktionen att ett visst objekt skall ärva sina behörigheter från den överordnade mappen så kan man göra det genom att ta bort krysset i rutan för detta i de Avancerade inställningarna. Denna ruta är kryssmarkerad som standard på alla nya filer och mappar som skapas. Om man tar bort denna funktion så gäller det endast för det aktuella objektet. När man tar bort krysset i denna ruta så får man en fråga. Det kan ju vara så att man inte har angett några nya behörigheter. Om man då tar bort alla ärvda behörigheter så innebär ju det att ingen användare har behörighet till objektet. Om man väljer Kopiera i denna ruta så kommer de ärvda behörigheterna att kopieras till objektet. Om man väljer Ta bort så kommer de inte att kopieras. Observera att man både kan ha ärvda behörigheter och egendefinierade behörigheter på samma objekt. Tips från verkligheten... Det rekommenderas att ange de behörigheter som man vill att objektet skall ha innan man tar bort ärvda behörigheter. Om man endast tar bort dem utan att ange några nya kommer ingen användare att ha behörighet till objektet, inte ens administratören. Då har man ju heller ingen behörighet att ändra behörigheterna till det... För en mapp har man ytterligare en möjlighet, det är att man i en och samma operation kan byta behörigheter på alla underliggande objekt. Om man kryssar i rutan: så kommer alla filer, undermappar och filer i undermapparna att på samma gång få de behörigheter som man angett för den aktuella mappen. Hur olika behörigheter samverkar Vanligtvis så är en användare medlem i en eller flera grupper. Grupperna kan ha olika behörigheter till ett visst objekt och även användarkontot kan ha en behörighetsinställning till objektet. Då gäller att den inställning som ger mest behörighet tar överhand, alltså minst restriktiv. Om en användare t.ex. är medlem i en grupp som har behörigheten Tillåt Läsa (Read) till en mapp och användarkontot har behörigheten Tillåt Fullständig behörighet (Full Control) så gäller Fullständig behörighet eftersom det ger mest tillgång. Undantag från denna regel är om användaren eller någon grupp som användaren är medlem i har behörigheten Neka (Deny). Då tar denna överhand. Om en användare har olika behörighet till en mapp och till en fil i mappen så gäller filens behörighet. Man kan ju t.ex. vilja skydda en specifik fil i mappen från att kunna öppnas och läsas av en användare. Då anger man Nekad åtkomst till att Läsa (Deny Read) för den aktuella användaren. Det kan många gånger vara svårt att reda ut vilken behörighet som gäller för en viss användare eller grupp. Det finns då en hjälp för detta i det avancerade fönstret. Välj fliken Gällande behörigheter. Ange först vilken användare du önskar studera behörigheterna för genom att klicka på Välj och där på vanligt sätt välja användare. Behörigheter till mappar som delas ut på nätverket När en mapp delas ut på nätverket så måste man även tänka på vilka behörigheter som gäller för själva delandet av resursen, Resursbehörigheterna. Dessa anger man när man delar ut en mapp vilket vi tidigare tagit upp i kapitel 6. När man under Egenskaperna för en mapp och under fliken Delning klickar på Avancerad delning så får man möjligheter att ange Resursbehörigheter genom att klicka på Behörigheter. Här anger man behörigheterna att ansluta till denna resurs över nätverket. Man anger önskad användare eller grupp genom att klicka på Lägg till. Därefter anger man önskad behörighet för denna. Man kan här välja på Fullständig behörighet, Ändra och Läsa. Dessa behörigheter samverkar då med de behörigheter som angetts för mappen som delas ut samt för behörigheterna till filerna i mappen samt till eventuella undermappar i den. Dessutom så kan en användare ha flera olika resursbehörigheter tack vare medlemskap i olika grupper. Vanligtvis så är en användare medlem i en eller flera grupper. Grupperna kan ha olika behörigheter till en viss resurs och även användarkontot kan ha en resursbehörighet angiven. Då gäller att den inställning som ger mest behörighet tar överhand, alltså minst restriktiv. Om en användare till exempel är medlem i en grupp som har behörigheten Tillåt - Läsa till en mapp och användarkontot har behörigheten Tillåt - Fullständig behörighet så gäller Fullständig behörighet eftersom det ger mest tillgång. Undantag från denna regel är om användaren eller någon grupp som användaren är medlem i har behörigheten Neka. Då tar denna överhand. När en användare ansluter till en resurs kan han ha en Resursbehörighet till resursen och en annan NTFS-behörighet till mappen som delas ut och till filerna i den. Då samverkar dessa och användarens effektiva behörighet räknas ut. Den effektiva behörigheten när Resursbehörighet och NTFSbehörighet samverkar är den som ger minst behörighet, alltså mest restriktiv. Om en användare till exempel har behörigheten Tillåt - Läsa till resursen och behörigheten Tillåt Ändra till katalogen eller till en fil i den så gäller Läsa eftersom denna är mest restriktiv. Behörigheter när ett objekt flyttas eller kopieras Om en fil flyttas eller kopieras gäller för det mesta att filen (kopian) ärver destinationens behörigheter. Undantagen är om man flyttar en fil inom samma partition eller om man kopierar eller flyttar en fil till en icke NTFS partition. Det här är det som gäller: - Om man kopierar en fil mellan två mappar på olika NTFS partitioner eller inom samma NTFS partition så kommer kopian att ärva behörigheter från destinationsmappen. - Om man flyttar en fil mellan två mappar på olika NTFS partitioner så kommer filen att på den nya positionen att ärva behörigheter från destinationsmappen. - Om man flyttar en fil mellan två mappar inom samma NTFS partition så behåller filen sina behörigheter. Detta pga. att filen inte flyttas rent fysiskt på hårddisken utan endast indexeras om. - Om man kopierar eller flyttar en fil till en icke NTFS partition (FAT eller FAT32) så går alla behörigheter förlorade. Dessa finns ju bara i NTFS filsystem. Även om man senare flyttar tillbaka filen så finns inga sparade behörigheter. - Om man kopierar eller flyttar en fil från en icke NTFS partition (FAT eller FAT32) så får den nya filen ärvda behörigheter från destinationsmappen. Sammanställning av behörigheter när filer kopieras eller flyttas. Allt vad som sagts ovan för filer gäller naturligtvis även för undermappar och för samtliga filer i dessa. Ägarskap Avancerade säkerhetsinställningar för desktop.ini Behörigheter Granskning Agare Gällande behörigheter Du kan bli ägare eller ange ägare för det här objektet om du har de behörigheter eller privilegier som krävs. Alla filer och mappar i en dator med NTFS filsystem har en ägare. Varje fil kan endast ha en ägare. Oftast är det användaren som skapat filen som är ägare till den. Att vara ägare till en fil innebär en unik sits. Ägaren till en fil eller mapp har alltid behörighet att ändra behörigheterna till den. Vem som är ägare syns under egenskaperna för filen. Öppna fliken Säkerhet och välj Avancerat. Nu kommer ett nytt fönster upp. Välj fliken med namnet Ägare. För att kunna visa ägare till filen måste man ha behörighet till detta. Tips från verkligheten... Som administratör har man alltid rättighet att ta över ägarskapet för filer och mappar, även om man normalt sätt inte har behörigheter till dessa. Det kan ju vara så att en person på ett företag slutar sin anställning. De filer och mappar som denne då har på företagets datorer behöver ju ges till någon annan eller eventuellt raderas. För att kunna göra det så måste man först bli ägare till filerna och mapparna. Gör nu övningarna i Arbetsboken till kapitel 26 27. TERMINAL SERVER - REMOTE DESKTOP I detta kapitel tar vi upp rollen som Terminalserver samt hur man arbetar med anslutna klientdatorer via Fjärrskrivbord, Remote Desktop. Remote Desktop Med hjälp av tjänsten Remote Desktop så kan användare logga in på servern och administrera den via sina egna klientdatorer. Efter inloggningen så tar man över serverns skrivbord, tangentbord och mus via fjärrstyrning. Detta är mycket användbart. Man slipper vistas långa tider i serverrummet när man arbetar med servern. Med Fjärrskrivbord, Remote Desktop, så kan man göra allt med servern, förutom sådant som kräver att man fysiskt befinner sig vid den. Man kan installera och avinstallera program, man kan konfigurera operativsystemet och programmen samt administrera med användarkonton, delade resurser osv. Man kan även starta om servern om så behövs. För att möjliggöra att ansluta anslutning via fjärrskrivbord så måste denna funktion först aktiveras på servern. Detta gör man via System - Remote Settings, (Egenskaper för Dator). Man klickar på länken Remote settings. Här kan man välja på två olika möjligheter beroende på om man vill tillåta alla datorer som har programmet Fjärrskrivbord eller endast de med en nyare, säkrare version som har Network Level Autentication.. Under Select Users väljer man sedan vilka användarkonton man skall tillåtas att ansluta via fjärrskrivbord. Konton Administrator har redan tilldelats denna behörighet. Klicka sedan på Select Users för att välja vilka användare som skall få logga in via Remote Desktop. Välj sedan användarkonton på vanligt sätt. Terminal Services Terminal Services är en Windows Server tjänst som används för att flera användare samtidigt skall kunna köra sina applikationer på en server. Terminal Services skapar användarsessioner som ger ett användargränssnitt till fjärrskrivbordsklienter som ansluter till den servern. När en användare loggar in till en terminalserver ser användaren terminalserverns skrivbord och alla tangenttryckningar samt musklickningar som görs vid klientdatorn returneras till terminal servern för bearbetning. Datorn användaren sitter vid blir då en Terminal d.v.s. allt användaren gör utförs på terminalservern vilken kan hantera många klienter samtidigt. På din klientdator används Remote Desktop som klientprogram för att kommunicera med terminalsevern. Terminalen blir då ett fönster på skrivbordet vars utseende och funktioner är identiskt med det man ser på bildskärmen på servern. Om man inne i fjärrskrivbordet till exempel startar Word så kommer det alltså att köras på servern. Klientdatorn belastas inte alls. Däremot kan servern bli hårt belastat om många användare samtidigt är inne och kör olika program. För användaren blir det nästan samma som Remote Desktop som tidigare beskrivits. Man använder samma klientprogram och loggar in på samma sätt. Skillnaden är i själva terminalservern. Med Remote Desktop så kan bara högst två användare i taget ansluta sig till servern. Med "äkta" Terminal Server så kan många användare samtidigt vara inloggade och arbeta i servern, t.o.m. i samma program. Hur många som samtidigt kan använda terminalservern begränsas av det antalet licenser man köpt samt den fysiska begränsningen med internminne och processorkapacitet. Varför skall man då använda Terminal Services på nätverket? Jo man har i huvudsak fyra anledningar: 1. Enklare administration och underhåll I och med att användaren arbetar i terminalservern i stället för i sin lokala dator så ligger både profil, program, dokument och alla inställningar på servern. På den lokala datorn kan det räcka med ett enda program, Remote Desktop-klienten. Det finns då ingen, eller mindre risk att användaren skall strula till det i sin dator. Alltså betydligt mindre arbete för dataavdelningen. Särskilt om användaren befinner sig på en plats på långt avstånd. Om man skall installera ett nytt program för alla eller för en grupp av användare så räcker det att man gör det på servern. Då får alla användare av terminalservern möjlighet att köra detta program. 2. Kan köras över långsamma kommunikationslänkar Tack vare att endast tangenttryckningar, musrörelser och bildskärmens visning skickas mellan klienten och servern så kräver inte detta någon hög bandbredd av kommunikationen. Det kan räcka med en långsam internetförbindelse. Inga filer behöver ju skickas över annat än vid t.ex. utskrifter eller om man vill öppna eller spara på en lokal enhet, CD-skiva eller USB-minne... 3. Möjlighet att arbeta på distans och på olika platser Du kan nå företagets terminalserver om du arbetar på distans och är på resande fot. Du får då tillgång till alla dokument och program på servern och eventuellt även allt på resten av företagets nätverk. Det gör att du kan nå affärssystemet, gemensamma dokument mm som kan vara viktigt. 4. Kan köras med äldre, sämre datorer Klientprogrammet Remote Desktop är inte något krävande program. Du behöver inte ha någon kraftfull dator för att köra detta. Ett företag kan spara mycket pengar på att använda Terminal Server eftersom de då inte behöver tänka på att uppgradera klientdatorerna eller köpa nya med jämna mellanrum. Att tänka på med Remote Desktop Terminal Services är en krävande applikation. Servern behöver mycket minne och gärna fler än en processor. Ju fler användare som samtidigt skall använda servern, desto mer minne behövs. Använd gärna en server med flera processorer och/eller processor med multipla kärnor. På arbetsplatser med många Terminal Services användare så har man oftast flera terminalservrar som arbetar tillsammans och delar belastningen. Terminal Services kräver licenser som måste köpas per klient. Remote Desktop, Fjärrskrivbord, ger dig möjlighet för högst två användare att logga in och administrera servern med de vanliga Windows licenserna. För att köra Terminal Services, då du kan köra applikationer på servern, kräver att du köper speciella Terminal Server-licenser. Detta kräver också att du har en särskild Licensserver på ditt nätverk, eller Licensservertjänsten installerad på en av dina servrar. Du kan dock köra i 120 dagar innan du måste skaffa licenserna. Installation av program När du skall installera program på terminalservern så måste detta göras under Kontrollpanelen med funktionen Install Application on Terminal Server. Alltså inte med applikationens eget installationsprogram som ofta startar när man sätter i CD-skivan. Om man inte följer detta så kommer de olika användarna inte att kunna köra det aktuella programmet utan endast den användare med vars konto man var inloggad med när man installerade programmet (Administratör). Rättighet att logga in Användarna av Terminal Services måste ha rättigheten att logga in via Fjärrskrivbord på servern, Allow Log on through Terminal Services. Detta får de automatiskt om du gör dem medlemmar i den inbyggda lokala gruppen Remote Desktop Users. Installation av Remote Desktop - Praktiskt exempel Terminal Services installeras som rollen Remote Desktop Services. Följ guiden. Fortsätt med Next. Fortsätt med Next. Remote Desktop Services omfattar flera olika komponenter. Dessa kan på samma server eller på en annan i samma nätverk. Remote Desktop Connection Broker Används då man vill ha en lastbalanserad serverfarm med terminalservrar. Remote Desktop Gateway Möjliggör anslutning till terminalservern på distans via internet utan att behöva VPN. TS Gateway utnyttjar http SSL via port 443 i stället för 3389 som är den vanliga porten för RDC, Fjärrskrivbord. Remote Desktop Licensing Licensserver för Terminal Services. Denna håller reda på hur många licenser (TS Cal) som man äger och hur många av dessa som används. TS Licensing måste finnas på någon av servrarna i nätverket. På stora arbetsplatser med flera terminalservrar lägger man den på en egen server. Har man bara en terminalserver kan man lägga den på denna. Remote Desktop Session Host Detta är funktionen som möjliggör Terminal Services. Remote Desktop Web Access Skapar ett web-gränssnitt för terminalservern så att man kan nå den genom sin vanliga webbläsare, till exempel Internet Explorer. Remote Desktop Virtualization Host Använder Remote Desktop för att ansluta till Virtuella maskiner. Vi väljer Remote Desktop Session Host och Remote Desktop Licensing. Fortsätt sedan genom guiden. Efter installationen måste servern startas om. Tips från verkligheten... Att installera Terminal Services på en server som även är domänkontrollant rekommenderas inte p.g.a. sämre säkerhet och prestanda. För att kunna börja använda tjänsten så måste servern aktiveras. Detta gör man under Remote Desktop Licensing Manager. Fortsätt igenom denna guide. Konfigurera Remote Desktop För att konfigurera Terminal Services så använder man RD Gateway Manager. Det fösta man måste göra är att sätta upp en Connection Authorization Policy. Först när man har skapat denna kan användare ansluta sig. Man kan även skapa en Resource Authorization Policy som behövs för att de som ansluter sig skall komma åt resurser på nätverket. Klicka på Create new policy så startar en guide. Följ sedan denna guide. OBS! Servern som hanterar Remote Desktop skall vara medlem i domänen för att det skall fungera bäst. Gör nu övningarna i Arbetsboken till kapitel 27

Lärobok Nätverks- & Serveradministration för Gymnasiet

Products

Support

Lärobok Nätverks- & Serveradministration för Gymnasiet

Add this document to collection(s)

Add this document to saved

Suggest us how to improve StudyLib