Wins сервер что это такое
WINS: служба именования Интернета в Windows
WINS – это служба разрешения имен для сетей Windows, которая сопоставляет имена хостов в сети с их сетевыми IP-адресами. Аббревиатура WINS является сокращением от Windows Naming Service. WINS преобразует имена NetBIOS в IP-адреса в локальной или глобальной сети.
Эта служба разрешения требуется в любой сети с клиентами, которые используют имена NetBIOS. Это также относится в первую очередь к более старым приложениям и машинам, работающим под управлением более старых версий Windows, выпущенных до Windows 2000, Windows XP, Windows Server 2003.
Как и DNS, WINS использует распределенную систему клиент/сервер для поддержания соответствия имен компьютеров и адресов. Клиенты Windows могут быть настроены на использование основного и дополнительного серверов WINS, которые динамически обновляют пары имя/адрес при подключении и выходе компьютеров из сети. Динамическое поведение WINS означает, что он также поддерживает сети, использующие DHCP.
Архитектура WINS
Система WINS состоит из двух основных компонентов:
В дополнение к этим компонентам существует также база данных WINS, которая называется «map», динамически обновляемый список имен NetBIOS и связанных IP-адресов.
В особых случаях может присутствовать прокси-сервер WINS, который является клиентом другого типа, который может действовать от имени компьютеров, не поддерживающих WINS. Это позволит пользователям потенциально использовать WINS с устройствами, которые в противном случае не имели бы доступа к программе.
Национальная библиотека им. Н. Э. Баумана
Bauman National Library
Персональные инструменты
WINS (Windows Internet Name Service)
WINS – это служба регистрации и разрешения имен компьютеров, которая сопоставляет NetBIOS-имена компьютеров с IP-адресами. Если в сети развернуты WINS-серверы, конечные пользователи могут обращаться к сетевым ресурсам, используя для этого имена вместо трудных для запоминания IP-адресов. Кроме того, программы и другие службы, установленные на компьютерах и других устройствах, могут выполнять запросы имен к WINS-серверу для разрешения имен в IP-адреса. [Источник 1]
Содержание
Возможности WINS
Преимущества использования WINS-сервера
WINS предоставляет ряд преимуществ администраторам сетей TCP/IP, среди которых:
Разрешение имен для WINS-клиентов является расширением аналогичного процесса разрешения имен, который используется всеми клиентами службы Microsoft NetBIOS через TCP/IP (NetBT) в сети, запрашивающими разрешение NetBIOS-имен. Действительный способ разрешения имен прозрачен для пользователя.
В Windows XP и Windows 2000 WINS-клиенты используют следующую последовательность действий для разрешения имени при выполнении запроса командой net use аналогичным приложением, использующим протокол NetBIOS:
Компоненты WINS-сервера
Основные компоненты WINS – WINS-серверы и WINS-клиенты. В некоторых конфигурациях также используются посредники – WINS-прокси.
WINS-серверы
WINS-сервер обрабатывает запросы на регистрацию имен, поступающие от WINS-клиентов, регистрирует их имена и IP-адреса и отвечает на запросы разрешения NetBIOS-имен от клиентов, возвращая IP-адрес по имени, если это имя находится в базе данных сервера.
WINS-серверы можно также настроить для репликации содержимого их баз данных (в которых хранятся сопоставления NetBIOS-имен компьютеров с IP-адресами) на другие WINS-серверы. При запуске WINS-клиента в сети, например рабочей станции, его имя и IP-адрес отправляются в запросе на регистрацию непосредственно к основному WINS-серверу, настроенному для этого клиента. Поскольку именно этот сервер регистрирует клиентов, его называют владельцем записей о клиентах в базе данных.
База данных WINS
В базе данных WINS хранятся сопоставления NetBIOS-имен и IP-адресов компьютеров сети. Если для WINS-сервера настроен партнер репликации, содержимое базы данных на локальном сервере реплицируется (принудительно отправляется) на сервер партнера репликации. Если партнеры репликации настроены как «запрашивающие» партнеры, записи удаленного WINS-сервера копируются в локальную базу данных. Интервалы репликации настраиваются в консоли управления (MMC) с помощью оснастки WINS, которая также называется консолью WINS.
Кроме того, консоль WINS предоставляет средства, необходимые для управления, просмотра, резервного копирования и восстановления базы данных WINS-сервера. Создавайте резервные копии базы данных всякий раз, когда создаются резервные копии других файлов на WINS-сервере.
WINS-клиенты
WINS-клиенты регистрируют свои имена на WINS-сервере, когда они запускаются или подключаются к сети. Затем клиенты делают запрос к WINS-серверу для разрешения в адреса удаленных имен, когда это необходимо.
Клиентами, поддерживающими службу WINS, являются компьютеры, которые могут быть настроены на непосредственное использование WINS-сервера. Большинство WINS-клиентов обычно имеют несколько NetBIOS-имен, которые они должны зарегистрировать для использования в сети. Эти имена используются для опубликования различных типов сетевых служб, например службы сообщений или службы рабочей станции, которые каждый компьютер может использовать различными способами для связи с другими компьютерами в сети.
WINS-прокси
WINS-прокси представляет собой компьютер WINS-клиента, настроенный на работу от имени других компьютеров, которые не могут использовать службу WINS непосредственно. WINS-прокси помогает в разрешении NetBIOS-имен компьютерам, расположенным в маршрутизируемых сетях TCP/IP.
По умолчанию большинство компьютеров, которые не могут использовать службу WINS, применяют широковещательную рассылку для разрешения NetBIOS-имен и регистрируют свои NetBIOS-имена в сети. WINS-прокси может быть настроен на прослушивание от имени этих компьютеров и на запрос у WINS-сервера имен, не разрешенных широковещательной рассылкой.
WINS-прокси полезны и необходимы в тех сетях, в которых есть клиенты, имеющие право выполнять только широковещательные рассылки NetBIOS (или b-узлы). В большинстве сетей все клиенты обычно поддерживают WINS, и поэтому WINS-прокси там не нужны.
WINS-прокси прослушивают функции службы имен NetBIOS b-узла (регистрация имени, освобождение имени и запрос имени) и могут отвечать на запросы таких имен, которые являются удаленными и не используются в локальной сети. Прокси связываются непосредственно с WINS-сервером для получения сведений, необходимых для отклика на такие локальные широковещательные рассылки.
WINS-прокси используются описанным ниже образом.
Управление WINS-сервером
Основными средствами управления WINS-серверами являются консоль WINS и команды Netsh для WINS.
Консоль WINS
Консоль WINS – это оснастка консоли управления (MMC). После установки WINS-сервера можно использовать консоль WINS или команды Netsh для WINS для выполнения перечисленных ниже основных задач администрирования.
Кроме того, с помощью консоли WINS или команд Netsh для WINS можно выполнять необязательные или дополнительные задачи настройки, а именно просмотр и изменение свойств службы WINS, например параметра Интервал обновления и других интервалов, используемых при регистрации, обновлении и проверке записей имен, хранящихся в базе данных сервера;
Команды Netsh для WINS
Актуальность WINS
Установка
Wins сервер что это такое
Настройка серверов WINS, DHCP, DNS
Службы серверов WINS, DHCP, DNS должны быть установлены на компьютер со статическим IP-адресом.
Установка и настройка WINS
Установка WINS крайне проста: достаточно указать эту службу в составе устанавливаемых компонентов Windows Server. Какой-либо последующей специальной настройки служба WINS не требует. Вам необходимо при «раздаче» клиентам настроек протокола TCP/IP указать только адрес сервера со службой WINS, после чего системы при старте автоматически будут регистрироваться в базе WINS. В случае необходимости (она возникает крайне редко) соответствующие записи можно занести вручную, если воспользоваться консолью управления WINS (статические записи).
Если в системе установлено несколько WINS-серверов, то необходимо настроить синхронизацию их баз данных. Для этого на каждом WINS-сервере следует указать адрес другого WINS-сервера, с которым нужно проводить синхронизацию данных.
Примечание
Если маршрутизаторы сети пропускают широковещательные сообщения, серверы WINS можно настроить на автоматическое обнаружение партнеров по синхронизации. Для этого достаточно отметить соответствующую опцию на вкладке дополнительных свойств настройки WINS.
Компьютеры используют данные базы WINS только в том случае, если соответствующие настройки определены в их параметрах TCP/IP-протокола. Если вы хотите, чтобы все NetBIOS-компьютеры сети могли воспользоваться WINS для разрешения имен, то следует создать в каждом сегменте сети WINS-прокси.
Компьютеры, не использующие WINS, для разрешения имен рассылают широковещательные пакеты. WINS-прокси, обнаружив такой пакет, пытается разрешить имя в своем кэше и при неудаче передает запрос на тот WINS-сервер, который зарегистрирован для данной системы. Если сервер WINS возвращает имя, то WINS-прокси передает эти данные той системе, которая Отправила широковещательный запрос.
Для включения режима прокси необходимо установить в 1 параметр EnableProxy В разделе HKLM\System\CurrentControlSet\Services\NetBT\Parameters реестра компьютера, который предполагается использовать в роли WINS-прокси.
Использование DHCP-сервера требует от администратора обязательного определения ряда параметров. Для установки службы достаточно отметить ее в перечне параметров Windows Server, но после установки необходимо выполнить как минимум следующие действия:
Примечание
При наличии в сети двух DHCP-серверов клиент «возьмет» настройки IP-протокола от того сервера, ответ от которого будет получен первым.
Создание и настройка зоны
Сервер начнет раздавать адреса только после того, как вы зададите диапазон этих адресов и определите необходимые параметры протокола. Делается это путем создания новой области (scope).
Примечание
Название области может быть задано произвольно; диапазон адресов менять в процессе работы допустимо, но значение маски подсети, определенное при создании области, изменить невозможно. Можно только удалить область и создать новую с иным значением.
Для области необходимо определить, как минимум, диапазон распределяемых адресов, маску сети и указать срок аренды IP-адреса. Внутри диапазона адресов некоторые адреса можно исключать (например, если вы предполагаете задать их статически). Срок аренды выбирается исходя из особенностей вашей сети. При малом числе компьютеров он может быть существенно увеличен по сравнению со значением по умолчанию в 8 суток (вплоть до неограниченного значения).
Желательно в параметрах DHCP-сервера указать, чтобы он проверял IP-адрес перед его выдачей клиенту. Это позволит предупредить конфликты, возникающие при самостоятельном присваивании IP-адресов у клиентов, а также облегчит ситуацию восстановления сервера (например, после полной очистки его баз).
Примечание
Если в сети предприятия есть компьютеры с операционной системой до Windows 2000, то целесообразно установить в настройках DHCP обязательную регистрацию выдаваемого адреса на сервере DNS независимо от того, установлена данная опция у клиента или нет.
DHCP-серверы на операционных системах Windows 200х, работающих в составе домена Windows, должны быть авторизованы. Если DHCP-сервер не авторизован в службе каталогов, то он не будет выдавать IP-адреса. Чтобы авторизовать сервер, пользователю с правами администратора предприятия необходимо в меню консоли управления DHCP-сервером выбрать пункт Авторизовать сервер.
Примечание
Если в вашей сети имеется DHCP-сервер, работающий на платформе Windows NT 4.0 Server или на другой операционной системе, то он будет обслуживать клиентов независимо от авторизации в службе каталогов.
Настройка параметров области
Для полноценной работы в составе компьютерной сети обычно недостаточно получения только IP-адреса и маски сети. Так, клиентам минимально необходимы адреса DNS-ссрверов и адрес шлюза. Кроме того, могут понадобиться DNS-суффикс существующей сети, адрес WINS-сервера, адрес автоматической конфигурации прокси для доступа в Интернет и т. п. Все эти параметры могут сообщаться DHCP-сервером.
Дня этого необходимо определить опции области.
Примечание
В последних версиях операционных систем мастер создания области автоматически предлагает заполнить основные параметры. При этом могут быть определены как параметры всего сервера, так и параметры области. Обратите внимание, что в случае конфликта параметров клиентам будут сообщаться параметры не сервера, а области.
Вы можете определить любые параметры области (как минимум, необходимо указать те величины, которые запрашиваются мастером создания новой зоны). а при необходимости — и создать собственные.
DHCP-сервер можно настроить так, чтобы он выдавал клиентам не случайный, а заранее определенный адрес.
Примечание
Достаточно часто бывают ситуации, когда все адреса в локальной сети раздавались на основе резервирования. Администраторы осуществляли такую статическую настройку адресов для того, чтобы сочетать закрепление адресов, свойственное статическому распределению, с возможностью легкой смены таких параметров, как адрес DNS-сервера.
Примечание
Обратите внимание, что для резервированного клиента DHCP-сервер позволяет установить свои, индивидуальные параметры протокола TCP/IP, отличные от параметров области.
«Подстройка» DHCP под группы клиентов
Очень часто администраторы сети хотели бы, чтобы часть клиентов получала IP-адреса из одного диапазона, а часть — из другого, возможно, с отличающимися параметрами настройки протокола TCP/IP. Если такие компьютеры расположены в одном сегменте Ethernet-сети (отсутствуют маршрутизаторы). то подобную конфигурацию DHCP-сервера выполнить невозможно (исключая случай разделения клиентов, использующих загрузку с сети, и клиентов, получающих адрес после старта операционной системы; такой результат достигается просто установкой двух DHCP-серверов, один из которых настроен на обслуживание только клиентов, загружаемых по сети, а другой — остальных).
При получении широковещательного запроса на выделение адреса сервер всегда будет отсылать предложение аренды IP-адреса того сегмента сети, в котором он находится сам.
Примечание
Если сервер имеет несколько сетевых адаптеров, подключенных к различным сегментам сети, то будут использованы параметры настройки адаптера, ука- занного первым в меню настройки дополнительных опций сетевого подключения.
Существует всего несколько возможностей «выделить» различных клиентов, но только для получения отличающихся параметров области (scope option).
Первая возможность— это резервирование клиентов. Для резервированных клиентов можно определить собственные параметры области. Но для создания такого клиента нужно точио знать его МАС-адрес.
Вторая возможность — это разделение клиентов по классам: классу вендоров (vendor class) и классу пользователей (user class). Для клиентов класса адми нистратор может настраивать индивидуальные опции DHCP-сервера.
Классы DHCP имеют некоторые отличия определения. В DHCP вендором считается производитель соответствующего программного обеспечения oпe- рационной системы. Например, можно разделить клиентов с операционной системой Windows 2000 и операционной системой предыдущих версий. Правда, вы должны руководствоваться лишь теми параметрами, которые заложили сами вендоры. Например, в DHCP-сервере Windows 2000 для клиентов Microsoft можно настроить раздельно только параметры включения/выключения NetBIOS поверх TCP/IP, необходимости освобождения аренды адреса при выключении и метрику шлюза по умолчанию.
Примечание
Администраторы могут добавлять описания классов вендоров в параметры DHCP-сервера, но для этого придется узнать по технической документации необходимые настройки соответствующего производителя.
Использование пользовательских классов доступно в серверах DHCP Microsoft, начиная с версии 2000 и выше. Основное отличие от вендорского класса состоит в том, что устанавливать принадлежность к классу могут сами пользователи (с помощью команды ipconfig /setclassid ). Например, можно применить пользовательские классы для осуществления различной настройки TCP/IP протокола мобильных и стационарных компьютеров.
Конечно, в больших организациях подобную настройку можно включить в образы операционной системы, которая потом будет тиражироваться раздельно по структурам предприятия (например, простым дисковым копированием или путем установки через Remote Installation Service. Но для малых организаций применение пользовательских классов, на мой взгляд, не имеет практического значения.
Обслуживание DHCP-сервером других сегментов сети
С помощью одного DHCP-сервера администраторы могут раздавать IP-адреса различным сегментам своей сети1. Для этого необходимо на DHCP-сервере создать области с диапазонами адресов, соответствующими этим сегментам, и обеспечить получение DHCP-сервером запросов из другого сегмента сети.
Создание областей с различными диапазонами IP-адресов выполняется типовым образом: вы создаете область и определяете для нее любой желаемый диапазон адресов. Однако раздавать из области адреса, не соответствующие диапазону собственной подсети, DHCP-сервер не будет, пока не получит адресованного ему запроса из другого сегмента.
Такие запросы может формировать специальный агент — агент ретрансляции DHCP (DHCP Relay Agent), входящий в состав сервера маршрутизации и удаленного доступа (Routing and Remote Access Server, RRAS).
Принцип работы агента ретрансляции DHCP достаточно прост. Агент прослушивает сеть на наличие пакетов запроса аренды адреса. Если такой пакет получен, то агент ожидает некоторое время (на случай, если в данном сегменте сети есть свой DHCP-сервер, который и обслужит клиента). Если запрос клиента остается необслуженным, то агент ретранслирует запрос в соседние сегменты сети. Если в соседних сегментах есть DHCP-сервер, то он получает данный запрос и, поскольку запрос отправлен с адреса другого сегмента сети, предоставляет в аренду адрес именно того диапазона, из которого пришел запрос.
Для установки программного агента ретрансляции достаточно в настройках IP-маршрутизации (IP Routing, пункт General) соответствующего сервера RRAS выбрать команду создания нового протокола маршрутизации и указать DHCP Relay Agent. В настройках агента ретрансляции следует указать IP-адрес DHCP-сервера, на который будут ретранслироваться запросы аренды адреса.
Далее нужно добавить в агент ретрансляции интерфейс (или несколько интерфейсов, если компьютер подключен к нескольким сегментам сети), через который будут пересылаться запросы аренды. Далее при необходимости следует отрегулировать порог ожидания (boot threshold)— время, в течение которого будет ожидаться ответ локального DHCP-сервера, и hop-count threshold— максимальное количество маршрутизаторов, через которые может пройти этот пакет.
Примечание
Агента DHCP Relay следует использовать также в тех случаях, когда сеть разделена маршрутизаторами, не пропускающими широковещательный трафик. Иначе сервер DHCP не сможет получить запрос выделения адреса от клиента, находящегося в другом сегменте локальной сети.
Порядок получения IP-адресов клиентами DHCP
Во многих случаях знание процедуры аренды IP-адреса может помочь в диагностике неисправностей сети.
Первичное получение адреса.
При включении компьютера клиент, настроенный на динамическое получение адреса, передает широковещательную рассылку с запросом IP-адреса. Это сообщение называется DHCPDISCOVER. На этот запрос отвечают все DHCP-серверы сегмента сети, предлагая IP-адрес. Соответствующее сообщение называется DHCPOFFER. Выделяемые для аренды адреса на некоторый период резервируются и не предлагаются другим клиентам.
Клиент ждет предложения по адресу от сервера DHCP одну секунду. Если оно не приходит ни от одного сервера, то запрос аренды повторяется еще пять раз (через увеличивающиеся промежутки времени приблизительно в течение 30 секунд). Если ответ от DHCP-сервера так и не получен, то клиент получает адрес по технологии APIPA (см, разд. «Адресация APIPA» ранее в этой главе).
На первое полученное предложение от DHCP-сервера клиент отвечает широковещательным сообщением (DHCPREQUEST), в котором содержится IP-адрес сервера, выдавшего это предложение. После получения такого сообщения другие DHCP-серверы освобождают зарезервированные ими IP-адреса, а сервер, предложение которого принято, высылает подтверждение (DHCPACK). Только после получения этого подтверждения клиент полностью инициализирует TCP/IP-протокол своего сетевого адаптера.
Запрос на продление аренды IP-адреса высылается после истечения половины периода аренды и при каждой перезагрузке системы. Для этого на сервер, выдавший адрес, отправляется DHCPREQUEST-запрос. Если подтверждение получено (DHCPACK), то клиент продолжает использовать текущие параметры конфигурации. Если ответ не получен, то запросы на данный сервер повторяются. Перед окончанием срока аренды и при отсутствии ответа от выдавшего IP-адрес DHCP-сервера клиент высылает уже широковещательные запросы DHCPDISCOVER, пытаясь получить адрес от любого DHCP-сервера.
Примечание
При отказе в аренде DHCP-сервером высылается специальный пакет DHCPNACK
Если срок аренды закончился, а клиент не смог ни получить подтверждения от «своего» DHCP-сервера, ни запросить новый IP-адрес, то текущие настройки IP-протокола освобождаются, а клиент получает адрес по APIPA.
Если при перезагрузке операционной системы попытка обновления аренды адреса неудачна и клиент не может установить связь со шлюзом по умолчанию, то текущие настройки IP-адреса также освобождаются.
Диагностика и обслуживание DHCP-сервера
Обычно никаких проблем с использованием DHCP-сервера не возникает. В противном случае следует включить протоколирование его работы (опция на одной из вкладок консоли управления сервером). После выявления причин неисправностей для повышения производительности системы ведение журнала работы DHCP-сервера следует отключить.
Сервер проводит фоновую дефрагментацию базы данных клиентов. Ручная (офлайновая) дефрагментация имеет смысл только в случае большой нагрузки на серверы (более 1000 записей клиентов). При меньшем числе клиентов ручную дефрагментацию (она проводится при помощи программы jetpack; которая требует предварительной остановки DHCP-сервера) рекомендуется проводить раз в несколько месяцев или еще реже.
При возникновении ошибок в базе достаточно просто исполнить операцию reconcile для соответствующей области или всего сервера. При серьезных проблемах допустимо остановить DHCP-сервер и удалить все файлы баз из его каталога. После старта они будут воссозданы с пустыми значениями, которые потом снова заполнятся по получении запросов.
Примечание
Для DHCP-серверов существует возможность переноса их с одного компьютера на другой с сохранением всех настроек (областей и их параметров, реальной базы клиентов). Поможет в этом утилита dhcpexim.exe (ее можно свободно загрузить с сайта разработчика операционной системы — http://www.microsoft.com /windows2000/techinfo/reskit/tools/new/dhcpexim-o.asp), позволяющая сохранить все параметры настройки DHCP-сервера в файл, а потом восстановить эти настройки на другом DHCP-сервере. В случае использования Windows Server 2003 перенос данных DHCP-сервера может быть выполнен при помощи операций экспорта и импорта утилиты netsh.
Отказоустойчивая конфигурация Microsoft DHCP-сервера
При построении отказоустойчивых информационных систем важно обеспечить стабильную работу сетевых служб, в том числе сохранить функционирование службы автоматического присвоения параметров IP-адреса в случае выхода сервера DHCP из строя. Реализация DHCP на основе сервера Microsoft имеет серьезный недостаток, связанный с невозможностью создания горячего резерва данной службы для одного диапазона IP-адресов.
Документы Microsoft предлагают для повышения отказоустойчивости два способа. Первый заключается в размещении службы DHCP на серверном кластере. В этом случае база адресов будет храниться на общем диске, а при выходе из строя одного сервера его работу «подхватит» второй сервер кластера. К сожалению, такое решение часто не доступно малым и средним организациям из-за высокой стоимости реализации отказоустойчивого кластера.
Второй вариант решения проблемы отказоустойчивости службы DHCP заключается в настройке для организации двух серверов DHCP с различными (неперекрывающимися) частями используемого диапазона адресов организации. В этом случае клиент будет получать параметры адреса от любого сервера (вернее, от того, который ответит раньше), а при выходе из строя одного из серверов второй продолжит обслуживание организации.
В доменах Windows информация о необходимых для работы систем службах хранит DNS. И основное количество проблем функционирования домена (службы каталогов) связано именно с неверной настройкой администраторами службы DNS. Поэтому стоит рассмотреть сервер DNS более подробно.
DNS (Domain Name System, система доменных имен) — это служба разрешения имен в сетях на основе протокола TCP/IP.
Зона DNS — это часть пространства имен, для которого DNS-сервер может выполнять операции разрешения имен. Существуют зоны прямого и обратного просмотра, которые на практике для удобства называют прямой и обратной зонами.
Прямая зона позволяет по имени системы получать ее IP-адрес, обрат-пая— по IP-адресу «выдает» информацию об имени хоста. Поэтому если нужно по имени компьютера узнать его адрес, то говорят о прямом разрешении имени. Если по IP-адресу хотят получить имя компьютера, то в этом случае происходит обратное разрешение имени. Строго говоря, если в DNS зарегистрировано прямое разрешение имени, то должно быть зарегистрировано и обратное.
Примечание
Отсутствие обратного разрешения имени является достаточно частой ошибкой в Интернете. Обычно владельцами прямой зоны данного домена и обратной зоны, которая соответствует этому имени, являются разные люди (организации), поэтому в процессе регистрации новых DNS-записей часто забывают создать соответствующую запись обратной зоны.
Фактически прямые зоны соответствуют доменам некоторого уровня. Например, зона xnets.ru позволяет разрешить все запросы имен, относящихся к домену xnets.ru.
Для разрешения обратных имен в домене самого верхнего уровня создана зона in-addr.arpa. Названия зон обратного просмотра формируются добавлением к этому имени слева имени трех октетов адреса сети в обратном порядке.
Например, для сети 195.161.192.0/24 имя обратной зоны будет | 192.161.195.in-addr.arpa.
В большинстве случаев отсутствие регистрации в обратной зоне не мешает нормальной работе в Сети. Однако оно может и привести к ошибкам в тех случаях, когда необходимо установить по IP-адресу имя сервера. Например, при обмене почтовыми сообщениями в настоящее время принято проверять принадлежность сервера к тому домену, от имени которого он передает почту. Если обратное разрешение имени не будет проведено, то система может получить отказ в приеме почты.
Первичная и вторичная зоны.
У создаваемых записей DNS должен быть один «хозяин». Чтобы все записи были корректны, их необходимо вносить на одном DNS-сервере. В этом случае говорят, что на таком DNS-сервере расположена первичная зона. Для отказоустойчивости на других серверах можно создать копии этой зоны: такие зоны будут называться вторичными зонами. Вторичная зона содержит те же записи, что и первичная, но в нее нельзя вносить изменения или добавлять новые записи. Эти операции можно делать только для первичной зоны.
Для каждой первичной зоны можно создать сколько угодно копий на других серверах. Обычно в настройках DNS-серверов предусматриваются специальные механизмы оповещений, которые обеспечивают синхронность записей первичной зоны и ее копий на вторичных серверах. Но, если это не запрещено настройками DNS-сервера, вы можете создать на своем сервере вторичную зону, обновления которой будут производиться по некоему графику. В результате записи такой копии могут оказаться неактуальны. Поэтому принято для домена определять серверы имен, информация которых «официальна». Такие серверы называют NS-записями соответствующего домена. Обычно для каждого домена создается два или три NS-сервера. Если ответ на запрос разрешения имени получен от NS-сервера, то он считается авторизованным, другие серверы возвращают неавторизованные ответы.
Примечание
Это не значит, что в этом случае возвращаются неверные данные. DNS-сервер разрешит запрос клиента на основании данных своей копии только в том случае, если эти данные не устарели. Но если срок жизни записей на сервере имен был установлен, например, равным неделе, то в случае внесения изменений в первичную зону необходимо быть готовым к тому, что еще до недели после смены информации на NS-сервере другие серверы DNS могут возвращать старые значения. То есть вы столкнетесь с ситуацией, когда часть систем уже получила правильные данные об имени, а часть — нет. Поэтому перед предполагаемой сменой записей DNS необходимо уменьшить время их жизни и выждать период, равный старому времени жизни. Это позволит сократить период такой неопределенности в разрешении имен. После выполнения операции настройки следует вернуться к старым величинам, чтобы снизить нагрузку на сеть и DNS-серверы.
Если вы предполагаете, что копия DNS-записей на сервере DNS неактуальна, то следует выполнить операцию очистки кэша для соответствующей зоны. Для этого необходимо в консоли управления сервером включить опцию отображения дополнительных параметров, найти нужную зону среди структуры кэша и выполнить для нее очистку. При следующем запросе данных из этой зоны сервер загрузит копию с того сервера DNS, на который настроена пересылка запросов. Поэтому и эта операция также не гарантирует получение актуальной копии записей. При рассмотрении проблемных ситуаций следует выяснить на официальных ресурсах адреса NS-серверов данного домена и проверить записи с помощью утилиты nslookup, подключаясь к соответствующему NS-серверу.
Примечание
Для обновления записей DNS на клиентских компьютерах следует очистить кэш DNS-записей ( ipconfig /flushdns).
Так называется специальная операция копирования всех записей данной зоны с одного DNS-сервера на другой. По соображениям безопасности передача зон обычно разрешается только на заранее определенный администратором системы список IP-адресов DNS-серверов. Если операция передачи зоны запрещена, то вы не сможете создать на своем DNS-сервере вторичную зону для данного домена.
Если на DSN-сервере создана, например, прямая зона для домена test.local, то запись о домене третьего уровня Ievel3.test.local должна содержаться на этом же сервере. Если географически домен level3.test.local удален от основного домена, то поддержание записей в его зоне на DNS-сервере становится не очень удобным. Проще поручить администратору этого домена вносить изменения в DNS-записи самостоятельно, для чего используется процесс делегирования зоны. При делегировании зоны DNS-сервер создает у себя запись, указывающую, что запросы разрешения имени для этой зоны должны перенаправляться на другой DNS-сервер, на который произведено делегирование зоны.
При делегировании зоны на исходном сервере сохраняется информация о NS-сервере делегированной зоны. Поскольку администратор делегированной зоны может изменять ее DNS-записи, то он может сменить и записи NS-сервера. Если соответствующее изменение не будет внесено на сервер, который осуществляет делегирование, то процесс разрешения имен будет нарушен (основной сервер по-прежнему будет отправлять запросы на уже не существующий адрес, и в результате будет формироваться неверный ответ).
Для исправления подобной ситуации в DNS-сервере Windows Server 2003 введены stub-зоны. При создании stub-зоны в ней определяются NS-записи делегированной зоны. Причем если администратор делегированной зоны меняет эти записи, то соответствующие изменения вносятся и в записи stub-зоны. В результате гарантируется целостность процесса разрешения имен.
Домен самого верхнего уровня, как уже писалось, принято называть именем «точка». Если в DNS создать зону «точка», то это будет фактически значать, что данный сервер является корневым в структуре DNS, т. е. он должен разрешать самостоятельно любые запросы имен. Если этот DNS-сервер не может разрешить имя, то его ответ будет гласить, что такого хоста не существует.
Примечание
При необходимости пересылки запросов DNS на другие серверы зону «точка» следует удалить, после чего появится возможность настройки пересылки запросов DNS.
Порядок разрешения имен в DNS
Типы запросов.
Для разрешения имен в DNS предусмотрено два типа запросов: итеративный и рекурсивный.
Итеративный запрос служит для получения от DNS-сервера, которому он направлен, наилучшего ответа, который может быть получен без обращения к другим DNS-серверам. Рекурсивный запрос предполагает, что сервер DNS должен выполнить все операции для разрешения имени. Обычно для этой цели необходимо выполнить несколько запросов к различным серверам DNS.
Последовательность разрешения DNS-имен.
Процесс определения имени с использованием итеративных запросов весьма трудоемок. Нужно найти NS-сервер для данного домена и затем запросить от него данные по требуемому имени. Обычно клиенты все эти операции «возлагают» на DNS-серверы, отправляя им рекурсивный запрос.
DNS-сервер после получения рекурсивного запроса просматривает собственный кэш имен. Если он находит нужную запись и она еще не устарела, то это значение возвращается клиенту. Если записи нет, то сервер предпринимает попытку поиска сервера имен для домена, содержащегося в запросе. Чтобы найти такой сервер, запрос всегда отправляется на корневой сервер, от него получают информацию по домену первого уровня, запросом на домен первого уровня получают информацию о NS-серверах домена второго уровня и т. д. После этого отправляется итеративный запрос на NS-сервер соответствующего домена. Естественно, что большинство информации от корневых доменов уже кэшировано на данном сервере. В результате запросы «не доходят» до корневых серверов, но сама цепочка разрешения имени всегда выполняется от корня до текущего домена.
Обычно администраторы локальных DNS-серверов настраивают свой сервер на пересылку (forwarding) запросов разрешения имен на тот или иной сервер DNS (обычно это DNS-сервер провайдера). Тем самым вся процедура разрешения имен будет выполняться уже другим сервером. Поскольку мощные серверы Интернета обычно имеют существенно больший кэш и лучший канал подключения к глобальной сети, то таким способом достигается уменьшение времени ответа и снижение трафика.
Основные типы записей DNS
При создании первичной зоны для своего домена следует обратить внимание на создание некоторых специальных записей ресурсов (resource records), которые полезны для получения информации общего типа:
SOA (Start of Authority).
Серийный номер зоны. В DNS автоматически увеличивается при любом изменении записей зоны. Используется в операциях переноса зон (если номер изменился, то происходит обновление записей вторичной зоны). На практике принято этот номер формировать на основе даты последнего изменения: год-месяц-день-(время). Например, так: 20050810.
Адреса «официальных» серверов имен данной зоны. Эти серверы возвращают авторизованные ответы.
RP (Responsible Person).
Адрес электронной почты лица, ответственного за внесение изменений в записи зоны. Наличие записи и поддержание ее актуальности желательно, чтобы в случае возникновения каких-либо вопросов по домену организации у специалистов были реальные контактные данные. Обратите внимание, что символ э адреса электронной почты заменяется на точку.
Эта запись содержит информацию об имени системы и ее IP-адресе. Именно этот тип записи добавляется в DNS-сервер при регистрации хостов.
PTR (Pointer, указатель).
Так называется запись в обратной зоне. Настройками DNS локальных доменов обычно предусматривается автоматическое создание (изменение) PTR-записи при добавлении А-записи в прямую зону.
CNAME (Canonical NAME).
Записи псевдонима. Используются, если хосту необходимо дать второе DNS-имя.
Запись хранит IP-адрес сервера электронной почты (SMTP-сервера), который обслуживает данный домен. Чтобы на данный домен можно было отправлять электронную почту, в базе DNS для домена должна быть обязательно создана МХ-запись. В целях резервирования может быть создано несколько МХ-записей, причем каждой записи соответствует определенный вес. По умолчанию почта отправляется на адрес, содержащийся в МХ-записи с наименьшим весом. Если этот сервер не отвечает, то делаются попытки отправить почту на адреса, соответствующие МХ-записям с другими весами в порядке их возрастания.
Специальный тип записи, используемый для обнаружения в домене служб (например, службы IP-телефонии и т. п.). Записи о системных службах Windows автоматически создаются службой каталогов. Ручное добавление записей осуществляется при настройке дополнительных продуктов в соответствии с прилагаемой технической документацией.
Примечание
Кроме описанных существуют и другие типы записей, предназначенные, например, для DNSSEC, IPv6 и т. п., но мы не будем их касаться в этой статье.
Установка сервера DNS
Сервер DNS можно установить только на компьютер со статическим IP-адресом. При этом удостоверьтесь, что сервер DNS, который предназначается для обслуживания организации, может правильно разрешать неполные имена. То есть он должен сообщить правильный адрес как на запрос для test.mydomain.local, так и для запроса на имя test. Для этого необходимо, чтобы основной DNS-суффикс компьютера, на котором устанавливается сервер DNS, совпадал с суффиксом имени домена организации. Соответствующие настройки выполняются в параметрах TCP/IP-протокола, статически устанавливаемых для сетевого адаптера сервера DNS.
Для установки службы DNS-сервера достаточно выбрать соответствующую опцию среди добавляемых компонентов. В целях отказоустойчивости информационная система должна быть настроена на использование нескольких серверов DNS.
Примечание
Сетевые адаптеры контроллеров домена, на которых установлены DNS-серверы, следует настроить «перекрестно»: в качестве первого сервера DNS для адаптера первого контроллера указывается адрес DNS-сервера второго контроллера и наоборот.
После запуска службы DNS следует уточнить некоторые параметры настройки. Во-первых, если сервер должен разрешать имена сети Интернет, то следу-удалить зону «точка» (если такая создана при установке) и указать IP-адpeca тех серверов DNS, на которые будут пересылаться запросы разреше-ния имен. Обычно в качестве таковых указываются DNS-серверы провайдера.
Примечание
DNS-сервер Windows Server 2003 позволяет определить для перенаправления запросов различные внешние DNS-серверы а зависимости от зон. Эту опцию целесообразно использовать при наличии нескольких подключений к Интернету и/или к удаленным офисам.
Далее следует создать на сервере DNS необходимые зоны. Эта операция выполняется при помощи соответствующего мастера. Следует учесть, что если сервер предназначен для разрешения имен домена Windows и является контроллером домена, то оптимальным решением будет создание зоны, интегрированной со службой каталогов. Такой вариант позволит использовать службы Windows для репликации данных между серверами DNS. При этом зона DNS на каждом сервере фактически будет являться первичной (допускать внесение изменений), а сами данные— безопасными (при работе с зоной будет использована действующая в Windows система безопасности).
Интегрированная в службу каталогов система имен реплицируется в Windows 200л: по всем контроллерам домена. Начиная с Windows Server 2003, добавлена возможность размещения зоны DNS в собственных разделах каталога. Это позволяет реплицировать интегрированные в службу кзталогов зоны только на серверы DNS либо домена, либо леса, в зависимости от того, какой раздел’ вы создаете, исходя из структуры организации.
Для зон, обслуживающих домен Windows, обязательно должна быть включена опция динамического обновления. В целях безопасности следует выбрать вариант безопасных динамических обновлений записей. При этом рекомендуется, чтобы служба DHCP была настроена на запуск не от системной учетной записи, а от имени специально созданного для такой цели пользователя.
Если вы не хотите регистрировать всех клиентов в DNS, то можно настроить сервер DNS так, чтобы он перенаправлял неразрешенные запросы имени на WINS-сервер. Для этого в настройках DNS-сервера в свойствах зоны на вкладке WINS следует включить опцию пересылки запросов на WINS-сервер и указать соответствующие IP-адреса.
После установки и настройки основных параметров DNS-сервера необходимо выполнить его первичную проверку. Для этого следует в свойствах сервера на вкладке мониторинга включить опции проверки как работы самого сервера, так и правильности перенаправления запросов и провести тест, после чего проверить корректность разрешения имен как внутренней сети, так и внешней (если сервер DNS используется и для разрешения имен Интернета) с помощью команды nslookup.
Примечание
При создании домена одновременно с установкой DNS прямая зона создается автоматически. Зону обратного разрешения следует создать вручную.
Записи домена Windows
Если на сервере DNS зарегистрирована зона, соответствующая домену Windows, то в этой зоне должны присутствовать специализированные записи, которые определяют нахождение служб каталогов домена. Данные записи создаются автоматически через некоторое время после установки службы каталогов.
Все большее число сотрудников начинают использовать мобильные компьютеры для доступа к ресурсам организации как изнутри локальной сети, так и из Интернета. В целях сокращения затрат на изменение конфигураций персональных компьютеров следует выполнять настройки программного обеспечения так, чтобы доступ к сетевым ресурсам локальной сети осуществлялся единообразно, независимо от того, выполняется подключение из локальной или глобальной сети. Реализуется такое требование разделением DNS (DNS split).
Технология разделения DNS подразумевает, что разрешение имен локальной сети и Интернета для одного доменного имени настраивается на различные DNS-серверы. Суть решения будет понятна из рассмотрения двух возможных ситуаций.
Примечание
Мы не рассматриваем вариант использования ресурсов локальной сети через VPN-подключение, поскольку в этом случае удаленный компьютер фактически становится членом локальной сети.
Одинаковые имена локального домена и домена Интернета.
Различные имена локального домена и домена Интернета.
Настройка удаленных офисов.
Возможны различные варианты конфигурации разрешения имен для удаленных офисов. В наиболее часто используемом случае подключения удаленного офиса к основному через Интернет по VPN-каналу можно реализовать следующую настройку DNS. DNS-сервер удаленного офиса настроить на пересылку запросов разрешения имени на DNS-сервер интернет-провайдера, а пересылку запросов на разрешение внутренних имен настроить на DNS-сервер центрального офиса. Такая конфигурация легко реализуется на DNS-серверах Windows Server 2003. В случае использования DNS на базе Windows 2000 можно осуществить передачу внутренней зоны на DNS-сервер удаленного офиса.
Примечание
Ресурсом, для которого наиболее часто приходится реализовывать подключение пользователей как изнутри организации, так и снаружи, является почтовая система. Если в организации установлен MS Exchange Server и клиенты применяют MS Outlook (полной версии), то для локального подключения к почтовой системе по умолчанию применяется протокол RPC. Подключение по этому протоколу использует динамическое открытие портов на сервере, что вызывает серьезные сложности в настройке брандмауэра при подключении клиента Outlook из глобальной сети. В результате на практике такое подключение из Интернета фактически не использовалось. Начиная с Windows Server 2003, для реализации всей функциональности полной версии Outlook предназначена специальная технология создания RPC Proxy, которая подробно описана в документах базы данных Microsoft (см. документ «Exchange Server 2003 RPC over HTTP Deployment Scenarios» или KB 833401). Обратите внимание, что одновременно следует настроить и клиента Outlook так, чтобы по умолчанию для подключения к почтовому серверу Exchange использовался вариант RPC over HTTP (статья «Configuring Outlook 2003 for RPC over HTTP»).