Сетевые службы.

Современные операционные системы предоставляют большое количество разнообразных сетевых служб и служб Интернета. Все они обладают по­хожей базовой сетевой архитектурой клиентского программного обеспе­чения, которое обращается к службам, и серверного программного обе­спечения, предоставляемого этими службами. OS X Lion обеспечивает поддержку многих популярных сетевых протоколов, позволяя обращаться к различным сетевым службам.

Большая часть этой функциональности сетевых служб обусловлена ис­пользованием UNIX в качестве основы для Lion, что открывает дорогу про­граммному обеспечению с открытым исходным кодом. Следовательно, ком­пьютер Мае должен хорошо интегрироваться с любой другой современной операционной системой для доступа и предоставления сетевых служб.

С точки зрения архитектуры, сетевые службы определяются клиентским программным обеспечением (созданным для доступа к этой службе) и серверным программным обеспечением (созданным для предоставления службы). Коммуникация между клиентским и серверным программными обеспечениями осуществляется общеизвестными сетевыми протоколами или стандартами. При соблюдении таких стандартов разработчики про­граммного обеспечения могут создавать уникальное, но при этом совме­стимое сетевое программное обеспечение клиента и сервера. Это позво­ляет выбрать программный инструмент, который лучше всего подходит для ваших потребностей.

Программное обеспечение сетевых служб

Обычно клиентское программное обеспечение имеет форму самостоя­тельных приложений, как в случае со многими интернет-службами (таки­ми как электронная почта и веб-браузеры). Иногда клиентское програм­мное обеспечение интегрировано в операционную систему, как, например, службы файлов и печати. В любом случае, когда создается соединение с сетевой службой, настройки для этой службы сохраняются в файлах на­строек на локальном компьютере. Эти клиентские настройки часто вклю­чают местоположения ресурсов и информацию аутентификации.

С другой стороны этого тандема находится серверное программное обеспечение, правильная настройка которого - значительно более слож­ная задача. Администраторы серверов могут потратить месяцы на соз­дание, конфигурирование и администрирование программного обеспе­чения, которое предоставляют сетевые службы. Серверные настройки включают параметры конфигурации, настройки протоколов и информа­цию учетной записи.

Выбрав сетевую службу, к которой нужно подключиться, зачастую при­ходится удостоверить свою личность для поставщика службы. Этот процесс называется аутентификацией (или проверкой личности). Успешная аутенти­фикация - это, как правило, последний шаг в установке подключения к этой службе. После установки подключения обычно вступают в действие техноло­гии безопасности, которые гарантируют, что пользователю разрешено обра­щаться только к определенным ресурсам. Этот процесс называется авториза­цией.

Динамическое обнаружение сетевых служб

Lion поддерживает про­токолы динамического обнаружения сетевых служб.

Протоколы динамического обнаружения сетевых служб позволяют просматривать ресурсы локальных и глобальных сетей, не зная конкрет­ных адресов служб. По сути, сетевые устройства, которые предоставляют службу, объявляют о своей доступности в сети, и клиенты, которые ищут службы, запрашивают и получают эту информацию, чтобы предоставить пользователю список доступных вариантов выбора сетевых служб. Когда доступные сетевые ресурсы изменяются или клиент перемещается в дру­гие сети, протоколы динамического обнаружения служб автоматически обновляют список доступных служб.

Lion предоставляет встроенную поддержку следующих динамического обнаружения сетевых служб.

• Многоадресное разрешение DNS-имен по протоколу Bonj порту с номером 5353.

• Server Message Block (SMB, блок сообщений сервера) на UDP-портах 137 и 138. Изначально разработанный компанией Microsoft, протокол SMB стал самой широко используемой сетевой службой для предо­ставления общего доступа к файлам и принтерам. Практически все современные операционные системы включают поддержку протоко­ла SMB.

Использование сетевых приложений

В связи с широким распространением пакета интернет-протоколов TCP/ IP почти для всех коммуникаций LAN, WAN и Интернета, не существует разницы между тем, обращаетесь вы к стандартной сетевой службе или к интернет-службе. Почти все сетевые службы работают в LAN точно так же, как и в Интернете. Основное различие между ними состоит в обла­сти действия. Такие службы, как электронная почта и мгновенный обмен сообщениями, могут, конечно, работать и на локальном уровне, но они созданы для коммуникации между разделенными сетями и серверами. ОС Lion включает ряд клиентских приложений, созданных для доступа к раз­личным сетевым службам.

В ОС Lion введена новая панель настроек Почта, адреса и календа­ри (Mail, Contacts, & Calendars), обеспечивающая единый унифицирован­ный интерфейс для настройки учетных записей сетевых служб, которые используются в программах Mail, iCal, Адресная книга (Address Book) и iChat. Другими словами, ввод одной учетной записи сетевой службы на панели настроек Почта, адреса и календари (Mail, Contacts, & Calendars) настроит все четыре основные сетевые приложения в ОС Lion. Эти при­ложения могут настраиваться на использование учетных записей сетевых

Использование служб общего доступа к файлам

ОС Lion поддерживает множество сетевых протоколов, обеспечивающих общий доступ к файлам по сети. В этом разделе читатель исследует обе стороны служб обеспечения общего доступа к файлам, клиент и сервер. Для большинства пользователей компьютеры Мае функционируют ис­ключительно как клиенты файловых серверов. Но любой Мае может так­же выступать в качестве сервера и предоставлять доступ к своим общим ресурсам. Кроме того, в ОС Lion введена новая функция AirDrop, которая является самым легким способом разделения файлов между компьютера­ми Мае.

Службы обеспечения общего доступа к файлам

При передаче файлов через сети и Интернет наиболее эффективными яв­ляются протоколы, созданные для обеспечения общего доступа к файло­вым системам. Сетевые файловые серверы могут делать доступными через сеть для клиентского компьютера целые файловые системы. Клиентское программное обеспечение, встроенное в утилиту Finder в Lion, может подключить службу сетевых файлов аналогично подключению локально­го тома запоминающего устройства. Когда служба сетевых файлов на Мае подключена, то можно манипулировать с файлами и папками, как с ло­кальной файловой системой. Кроме того, полномочия доступа к службам сетевых файлов определяются той же самой архитектурой прав владения и прав доступа, которая используется локальными файловыми системами.

ОС Lion предоставляет встроенную поддержку следующих протоко­лов сетевых файловых служб.

• Apple Filing Protocol (AFP) версии 3 на TCP-порту с номером 548 или с номером 22 для шифруемого через SSH трафика. Это собственная сетевая файловая служба компании Apple. Текущая версия AFP под­держивает все возможности «родной» файловой системы - Mac OS Extended.

Server Message Block (SMB) на ТСР-портах 139 и 445. Эта служба се­тевых файлов используется в основном системами Windows, однако многие платформы поддерживают этот протокол. SMB также поддер­живает многие развитые свойства файловой системы, используемые в Lion. Кроме того, в ОС Lion введена поддержка ссылок распределен­ной файловой системы (Distributed File Service, DFS). DFS позволяет администраторам систем Windows распределять службы SMB по не­скольким серверам.

• Network File System (NFS) версии 4 с поддержкой множества портов TCP или UDP. Применяется в основном системами UNIX и поддер­живает многие развитые свойства файловой системы, используемые в Lion.

• Distributed Authoring and Versioning (WebDAV) на основе веб на TCP-порту с номером 80 (HTTP) или на ТСР-порту 443 (HTTPS) при шифровании трафика. Этот протокол является расширением обыч­ной службы HTTP и предоставляет базовые файловые службы чте­ния/записи.

• File Transfer Protocol (FTP) на TCP-портах 20 и 21 или на ТСР-портах 989 и 990 (FTPS) для шифруемого трафика. Этот протокол во многих случаях является наименьшим общим знаменателем для файловых систем. FTP поддерживается практически всеми вычислительными платформами, но он предоставляет только базовую функциональ­ность файловой системы. Более того, утилита Finder поддерживает только чтение для томов FTP или FTPS.

Примечание. Не путайте протокол FTPS с другим похожим протоколом SFTP. Разница состоит в том, что FTPS использует SSL-шифрование на TCP-порту с номером 990, a SFTP использует SSH-шифрование на ТСР- порту с номером 22. Finder не поддерживает протокол FTPS. Однако оба протокола поддерживаются в утилите Терминал (Terminal).

Примечание. Утилита Терминал (Terminal) включает полнофункциональ­ный FTP/FTPS-клиент - команду ftp.

Утилита Finder предоставляет два метода для соединения с сетевой файловой системой: автоматическое обнаружение общих ресурсов (путем их обзора в папке Network приложения Finder) и подключение вручную (путем ввода адреса сервера, предоставляющего файловую службу).

Использование служб общего доступа к хостам

Кроме служб общего доступа к файлам и веб, которые рассматривались в предыдущем разделе, Lion включает ряд сетевых служб, не предна­значенных для предоставления общего доступа к файлам, которыми вы научитесь управлять в этом разделе. Данные службы «общего доступа к хостам»

различаются по своей реализации и назначению, но все они по­зволяют пользователям удаленно обращаться к ресурсам на компьютере, предоставляющем службу. Все они также легко включаются и управляют­ся из панели настроек Общий доступ (Sharing).

Важно помнить, что когда предоставляется служба, позволяющая дру­гим пользователям управлять процессами на компьютере, неизбежно воз­никает риск безопасности. Очевидно, что если вы предоставляете службу, позволяющую удаленно управлять компьютером и влиять на программ­ное обеспечение, то даете возможность злоумышленники причинить вам массу неприятностей. Поэтому чрезвычайно важно, когда включаются службы такого типа, использовать надежные настройки безопасности. Использование надежных паролей немаловажно, однако следует также настроить ограниченный доступ к данным службам из панели настроек Общий доступ (Sharing).

Сетевые службы общего доступа к хостам в Lion включают следующее.

Общие DVD или CD (удаленный диск). Данная служба, также известная как Удаленный диск (Remote Disk), позволяет открывать общий доступ к оптическому диску через сеть. Она предназначена главным образом для того, чтобы пользователь мог устанавливать программное обеспечение на MacBook Air или Mini, в которых нет оптического привода. Не путайте службу Удаленный диск (Remote Disk) со стандартными службами общего доступа к файлам,

• Общий экран. Предоставляет удаленный контроль над графическим интерфейсом компьютера Мае. Использование данной службы рас­сматривается далее в этом уроке.

• Общие принтеры. Предоставляет сетевой доступ к принтерам, ко­торые напрямую подключены к вашему Мае. Использование данной службы рассматривается в уроке 8.

Общие сканеры. Предоставляет сетевой доступ к сканерам, которые напрямую подключены к вашему Мае. Данная служба работает толь­ко с другими Мае в локальной сети (Bonjour) через приложение За­хват изображений (Image Capture). Она также включается для каждого пользователя по отдельности и доступна только тогда, когда пользова­тель находится в системе. При включении данной службы управляю­щий

• Удаленный вход. Позволяет удаленно управлять командной строкой Мае через Secure Shell (SSH). Использование данной службы рассма­тривается далее в этом уроке.

• Удаленное управление. Дополняет службу общего экрана, позволяя удаленно администрировать Мае через приложение Apple Remote Desktop 3.5 (ARD). Использование данной службы рассматривается далее в этом уроке.

• Удаленные события Apple. Позволяет приложениям и сценариям AppleScripts на другом Мае взаимодействовать с приложениями и службами на вашем Мае. Эта служба часто используется для обеспе­чения взаимодействия между AppleScript и приложениями, выполня­ющимися на разных компьютерах. При включении данной службы, управляющий

• Общий доступ Xgrid. Позволяет присоединяться к системе Xgrid, представляющей собой решение распределенных вычислений, кото­рое дает возможность превратить коллекцию объединенных в сеть компьютеров Мае в суперкомпьютер. Программное обеспечение Xgrid, встроенное в Mac

• Общий Интернет. Позволяет «разделить» одно сетевое подключение или подключение к Интернету с любым другим сетевым интерфейсом.

Общий доступ через Bluetooth. Позволяет обращаться к компьюте­ру Мае через Bluetooth-подключение.

Основная литература: 1 [23-26], 2 [5-92], 3[801-815]

Дополнительная литература: 6

Контрольные вопросы:

1. Каковы функции клиентской и серверной частей сетевой службы?

2. Как связаны сетевая служба и сетевой порт?

3. Назовите два протокола динамического обнаружения сетевых служб, которые поддерживаются в Lion.

4. Как Lion использует протоколы динамического обнаружения сетевых служб для доступа к ним?

5. Назовите пять сетевых файловых служб, с которыми можно соединиться из диалогового окна Подключение к серверу (Connect to Server) утилиты Finder.

6. Как заполняются объекты внутри папки Сеть (Network) утилиты Finder?

7. Что делает функция AirDrop, и как узнать, поддерживает ли ее ваш Мае?

8. Как предоставить службы общего доступа к файлам Lion, чтобы к ним могли обращаться другие компьютеры?

9. Какие возможные проблемы с паролем связаны со службой SMB?

10. Какие совместно используемые объекты доступны административному поль­зователю, который соединяется через AFP или SMB? Обычному пользователю?

11. Какие объекты доступны по умолчанию всем пользователям?

12. Какие службы общего доступа к хостам предоставляет Lion?

13. Назовите пять распространенных методов решения проблем со службами ка­талогов и службами аутентификации

1. .

Лекция 13. Защита сетевых служб.

Защита сетевых служб

С точки зрения сетевых служб, Мае прекрасно защищен, поскольку по умолчанию на нем работают несколько ключевых служб, которые отвеча­ют на внешние запросы. Даже когда вы предоставляете отдельные служ­бы общего доступа, Мае отвечает на запросы только тех служб, которые в данный момент активированы. Кроме того, службы, способные вызвать проблемы при своей компрометации (такие как общий доступ к файлам или экрану), могут настраиваться таким образом, чтобы ими пользовался только ограниченный круг лиц (рассматривалось ранее в этом уроке). Тем не менее пользователи могут открывать сторонние приложения или фоно­вые службы, которые делают Мае уязвимым для сетевой атаки.

Совет. Чтобы поддерживать высокий уровень сетевой безопасности, сле­дует держать службы общего доступа отключенными, пока в них не воз­никнет абсолютной необходимости. Если вы включаете службы общего доступа, то по максимуму ограничьте круг лиц, которые будут иметь к ним доступ.

Персональный брандмауэр

Самый распространенный способ защитить сетевые службы - это на­строить брандмауэр, который будет блокировать неавторизованный до­ступ к сетевым службам. В большинстве сетей брандмауэр используется для ограничения входящего трафика из Интернета. В действительности большинство персональных маршрутизаторов, например базовые стан­ции AirPort, по своей структуре также являются сетевыми брандмауэра­ми. Хотя брандмауэры уровня сети будут блокировать неавторизованный трафик, поступающий из Интернета, они не смогут блокировать трафик, который идет из локальной сети к вашему Мае. Не исключено также, что если Мае является портативным и подключается к новым сетям, то каж­дая новая сеть, к которой выполняется подключение, будет иметь другие правила брандмауэра.

Таким образом, чтобы не разрешать неавторизованным сетевым службам принимать входящие подключения на конкретном Мае, можно включить встроенный персональный брандмауэр. Личный брандмауэр будет блокировать неавторизованные подключения к Мае независимо от их источника. Брандмауэр в Lion поддерживает возможность своей конфигурации с помощью одного щелчка кнопкой мыши, и такая конфи­гурация обеспечивает высокий уровень защиты сетевых служб и подходит для большинства пользователей.

Стандартный брандмауэр использует правила на основе номеров пор­тов служб. Как вы узнали ранее в этом уроке, каждой службе присвоен стандартный порт или набор портов. Однако некоторые сетевые службы, такие как iChat, используют широкий диапазон динамических портов. Если бы пришлось вручную настраивать традиционный брандмауэр, то нужно было бы создать десятки правил для каждого потенциального пор­та, который мог бы понадобиться пользователю.

Для решения этой проблемы брандмауэр в Lion использует адаптив­ную технологию, которая разрешает подключения на основе требуемых приложений и служб. Пользователю даже не нужно знать, какие конкрет­но порты используются. Например, можно разрешить процессу iChat при­нимать любое входящее подключение, не настраивая все отдельные TCP- и CJDP-порты, которые им используются.

Совет. В ОС Lion все еще присутствует более традиционный брандмауэр На основе портов, iplw. Он может настраиваться из командной строки или с Помощью конфигурационных файлов.

Брандмауэр в Lion использует также другую возможность - подпись кода, которая позволяет гарантировать, что разрешенные приложения и службы не будут изменены без вашего ведома. Кроме того, подпись кода по­зволяет Apple и сторонним разработчикам предоставлять гарантию того, Что их программное обеспечение не было изменено злоумышленниками. Такой уровень проверки доверия позволяет настраивать брандмауэр в Lion в стандартном режиме с помощью одного щелчка кнопкой мыши. В атом режиме подписанным приложениям и службам разрешается прини­мать входящие подключения.

Наконец, поскольку брандмауэр в Lion является полностью ди­намическим, он будет открывать только необходимые порты, когда при­ложение или служба работают. Используя в качестве примера приложение iChat, брандмауэр в Lion будет разрешать входящие подключения на тре­буемые порты, только если приложение iChat работает. Если приложение будет закрыто из-за того, что пользователь выходит из системы, брандма­уэр закроет и соответствующие порты. Если требуемые порты открыты, только когда работают использующие их приложения или службы, обе­спечивается дополнительный уровень защиты, который отсутствует в традиционных брандмауэрах.

Решение проблем сетевых служб

Чтобы эффективно решить сетевую проблему, необходимо определить, к какой из трех категорий она относится: локальная, сетевая или проблема службы. Большинство проблем с недоступностью сетевых служб, скорее всего, будут относиться к последней категории. Это означает, что следует направить максимум усилий на устранение неполадок с конкретной служ­бой, при работе с которой наблюдаются проблемы.

Однако прежде чем погружаться в решение проблемы службы, исклю­чите общие сетевые проблемы. Сначала убедитесь, что работают другие сетевые службы. Открытие браузера и посещение нескольких сайтов, раз­мещенных локально или в Интернете, является хорошим тестом наличия общей сетевой связи. Протестируйте также другие сетевые службы или проверьте их с другого компьютера в той же сети. Если вы испытываете трудности в соединении с файловым сервером, но можете соединиться с веб-серверами, то, вполне вероятно, что конфигурация TCP/IP работа­ет нормально и проблема - в файловом сервере. Если имеются пробле­мы только с определенной службой, то, вероятно, локальных или сетевых проблем нет, и вы должны сосредоточиться на решении проблем только этой службы.

Если другие сетевые службы не работают, то неисправность связана, вероятно, с локальными или сетевыми проблемами. Внимательно про­верьте локальные сетевые настройки, чтобы гарантировать правильную конфигурацию в настройках Сеть (Network) и Сетевая утилита (Network Utility). Если вы обнаружите, что и другие компьютеры не работают, то речь, возможно, идет о глобальной сетевой проблеме, что выходит за рам­ки решения проблем клиентских компьютеров. Более подробно общие во­просы устранения неполадок с сетью рассматривались в уроке 6.

Сканирование сетевых портов

Одним из наиболее важных диагностических инструментов является ути­лита сканирования сетевых портов. Она входит в приложение Сетевая утилита (Network Utility) и сканирует все открытые порты сетевых служб по указанному сетевому адресу. Как говорилось ранее в этом уроке, про­токолы сетевых служб связаны с определенными TCP- и UDP-портами. Предоставляющие службу сетевые устройства должны оставлять соот­ветствующие сетевые порты открытыми, чтобы принимать входящие со­единения от других сетевых клиентов. Сканирование портов обнаружит, открыты ли требуемые порты. Если порты не открыты, то устройство либо не предоставляет необходимой службы, либо сконфигурировано для ее предоставления нестандартным образом. В любом случае это означает, что проблема связана с устройством, предоставляющим службу, а не с ва­шим компьютером.

Примечание. Сетевые администраторы рассматривают повторяющиеся ping-запросы и широкое сканирование портов как потенциальную угрозу. Поэтому некоторые сетевые устройства настраиваются на запрет ответа, даже когда работают правильно. Таким образом, следует избегать чрез­мерного использования ping-запросов и сканирования широкого диапа­зона портов при тестировании других серверов.