GRUPA ROBOCZA: [Komputer (logowanie)] -> Security Account Manager (SAM, w rejestrze jest)

Transkrypt

1 Laboratorium Maszyny wirtualne: C:\Program Files\Microsoft Learning\2274 Odpalić: Menu start -> Windows Virtual PC -> Windows Virtual PC Na każdej maszynie wirtualnej z 3 dodanych: kliknąć LPM -> Ustawienia -> Dyski cofania -> uruchom DEN-DC1 Kontroler domeny: Contoso.msft -> DEN-CL1 GRUPA ROBOCZA: [Komputer (logowanie)] -> Security Account Manager (SAM, w rejestrze jest) Aby każdy miał konto na każdym komputerze, żeby nie był zależny od jednego, trzeba konto dla niego zrobić na każdym komputerze. [Komp1] U1, U2, U3 [Komp2] U1, U2, U3 [Komp3] U1, U2, U3 DOMENA: Konta tworzone na jednym serwerze, centralne zarządzanie [Komp1] -> [Komp2] -> [Komp3] -> [Serwer Active Directory (AD)] U1, U2, U3 Zarządzanie użytkownikami na serwerze: Start -> Narzędzia administracyjne -> Active Directory Users and Computers HIERARCHIA w przypadku domen: Domena: wp.pl Poddomena: sport.(wp.pl) 1

2 Laboratorium PROGRAM: Microsoft Virtual PC SID & GUID -> identyfikatory komputera w domenie. KERBEROS -> jakiś system. Profile sprzętowe - można ustalić jakie sterowniki mają być załadowane (np. bez WIFI żeby oszczędzać energię) Prawym na "Mój Komputer" -> zarządzaj. Local Users and Groups. Tam można tworzyć użytkowników i grupy. Uprawnienia -> są do obiektów. Np. do pliku, folderu, drukarki. Prawa -> zezwolenie na logowanie lokalne, zamiana ustawienia. Opcje folderów -> Widok -> na samym dole wyłączyć prosty widok udostępniania DODAWANIE UŻYTKOWNIKÓW W KONSOLI > NET USER nazwa /ADD > NET USER nazwa /DELETE Przykład: NET USER JanKowalski /ADD Pomoc: NET USER /? DODAWANIE GRUPY LOKALNEJ > NET LOCALGROUP marketing /ADD > NET LOCALGROUP marketing JanKowalski/ADD 'Tworzy grupę i użytkownika w niej Jest zakładka mówiąca do których grup należy użytkownik. Zawsze należy do grupy "użytkownicy", bo jest to grupa systemowa. PRAWA: * Pełna kontrola -> wszystko + udostępnianie / prawa * Modyfikacja -> wszystko bez praw * Write -> Odczyt + zapis * Read -> odczyt * Zawartość listy folderu -> przeględanie folderu. ZAAWANSOWANE -> uprawnienia specjalne, np. tylko do plików, do folderów. ###UPRAWNIENIA - ważna rzecz 2

3 Jeżeli użytkownik jest w kilku grupach użytkowników, jedna ma ograniczony dostęp inna ma większy, to będzie miał te większe uprawnienia. CHYBA! że użyje się DENY -> Nie zezwoli się na jakieś konkretne działanie jeżeli jest w jakiejś grupie. DACL -> lista kontroli DACL -> ACE -> SID usera ma ALLOW / DENY na konretne rzeczy. Dzięki DACL system wie, gdzie użytkownik ma dostęp a gdzie nie w przypadku gdy jest w kilku grupach. Laboratorium Udostępnianie w grupie roboczej. Everyone -> wszyscy, domyślna grupa. \\ <- otoczenie sieciowe. \\den-cl1 <- komputer o nazwie den-cl1 Komp PPM -> Manage -> Shared Folders ADMIN$ & C$ -> udostępnienia administracyjne. $ -> nie będzie widoczny w otoczeniu sieciowym. Można się wtedy dostać do niego znając bezpośrednią ścieżkę. Wpisuje się na koniec nazwy udostępnianego folderu w opcja udostępniania. Np. udział nazywamy "folderek$", trzeba wejść "\\den-cl1\folderek$" PPM na folder -> share Raz udostępniony folder można udostępnić ponownie pod inną nazwą itp. (New share...) NTFS prawa + NTFS prawa = KUMULACJA NTFS prawa + SHARE = RESTRYKCJE -> będzie to co bardziej restrykcyjne MAPOWANIE KOMPUTERA * Litera dysku w sieci * Udział, np. \\den-cl1\test, trzeba konkretny pokazać, nie może być den-cl1. (reconnect at logon) udział zawsze będzie po zalogowaniu. Można podmapować jako ktoś inny (inny użytkownik). (na virtual PC -> narzędzia -> sieć -> karta 1 = wewnętrzna) cmd -> net use = Pokazuje udziały (zmapowane). MAPOWANIE w cmd net use litera_dysku ścieżka_unc net use K: \\den-cl1\test2$ 3

4 UDOSTĘPNIANIE DRUKARKI Sharing -> share name i wsio. Sharing -> Additional Drivers -> na inne wersje windowsa. Security: Print -> tylko wydruk Manage Printers -> Manage Documents -> Special Permissions -> Advanced: Dostępność -> jak nie będzie dostępne to dojdzie do kolejki wydruku. PPM na komputer -> Manage -> shares mamy "print$", ścieżka jest do bufora wydruku. Laboratorium Uruchom -> secpol.msc Jest to konsola ustawień lokalnych zabezpieczeń. Local Policies -> User Rights Assignment. Log on locally -> logowanie lokalne. Mnóstwo praw -> zmiana daty, ustawień, wyłączania komputera itp. Zanim się ustali zezwolenia, lepiej utworzyć grupę / użytkownika jeśli go nie ma i dopiero potem ustawić prawo do niego. Lepiej samemu tworzyć grupy i dostosowywać prawa, by uniknąć tego, że użytkownik ma więcej uprawnień niż powinien mieć. Account Policies -> polityka haseł na komputerze. Enforce password history -> ile haseł ma pamiętać komputer (nie można mieć tego samego co pamięta komputer). Maximum password age -> jak długo max może być jedno hasło. Minimum password age -> jak długo min musi być ustawione hasło. (Aby uniknąć tego, że w jednej chwili zmienię hasło x-razy i będę miał to podstawowe pierwsze) Password must meet complexity requirements -> Ustawienie standardów (A..Z, a..z,.., #!?), które muszą być w haśle. Store paswword using reversible encryption for all users in the domain. Account Lockout Policy -> threshold -> ile razy można złe hasło podać duration -> kiedy odblokuje się konto. (0 - oznacza że dopiero administrator będzie mógł odblokować) Reset account lockout counter after -> ile minut pamiętać ma system błędne logowania, do zresetowania licznika błędnych logowań. (Mój Komp -> Manage Event Viewer -> Security -> podgląd zdarzeń. Local Policies -> Audit Policy (co komputer ma rejestrować). 4

5 Można sprawdzać co kto robi z plikiem. Tworzymy folder / plik, security, advanced -> część audit. Logi będą się uzupełniać. Prawym na logi Security -> Properties -> można ustawić maksymalny rozmiar logów, a także czy ma się nadpisywać log.!!uwaga!! Żeby audyt był prowadzony to trzeba najpierw w secpol.msc uruchomić audyt na konkretne rzeczy. Dopiero potem audyt uruchomiony we właściwościach pliku / folderu zacznie działać (generować logi). ZADANIA Przerwać dziedziczenie w pkt 7 bo jest problem przy usuwaniu Users. Pliki podrzędne dziedziczą uprawnienia wyżej. Aby wyłączyć -> PPM na plik, Security, Advanced, Inherit from parent the permission entries... odznaczyć!! W MONICIE: Kopiuj - Skopiowane zostaną te uprawnienia co są, ale można już zmieniać. Usuń - Usunięte są wszystkie uprawnienia. Laboratorium Rozwiązywanie nazw (przeważnie chodzi o domenowe). Zamienianie nazw domenowych na konkretny adres (IP). uni.lodz.pl 3poziom.2poziom.1poziom Rodzaje nazw: *nazwy hostów -przypisana do adresu IP komputera -Długość do 255 znaków -Może zawierać znaki alfabetu, cyfry, łączniki oraz kropki -Posiada różne formy <Alias <Nazwa domeny komputer1.wz.uni.lodz.pl *wz.uni.lodz.pl -> aliast domeny *komputer1 -> nazwa hosta Razem jest to: FQDN 5

6 *nazwy NetBIOS -16-bajtowy adres -Używana do rerezentacji pojedynczego komputera lub grupy komputerów -Nazwa może mieć 15 znaków -16-ty znak przeznaczony jest na opis usług oferowanych przez komputer w sieci Nazwy hostów przykładowe: \\London Statyczne mapowanie IP C:\Windows\system32\drivers\etc *Plik Hosts -Umożliwia rozwiązywanie nazw hostów na adresy IP -Wiele nazw hostów może być przypisanych do jednego IP -We wpisach nie jest rozróżniana wielkość znaków *Plik Lmhosts -Umożliwia rozwiązywanie nazw NetBIOS na adresy IP -Część pliuku Lmhosts może być wcześniej załadowana do pamięci ### W pliku Hosts żeby wejść na onet, można wpisać i mamy 3 możliwości przejścia na onet: onet.pl o Pierwszeństwo ma mapowanie w HOSTS, dopiero potem jest DNS ### W pliku Lmhosts może inne strony zamapować w innych plikach, pisze się to w pliku Dynamiczne mapowanie IP *Serwer DNS (Narzędzia administracyjne -> DNS -> PPM serwer właściwości, root hints) -DNS jest systemem nazewniczym dla komputerów i usług sieciowych -System nazewniczy DNS ma budowę hierarchiczną -DNS mapuje nazwy domenowe do adresów IP -Rekordy mapowań są przechowywane na serwerze DNS eksoc.uni.lodz.pl -> Wyszukiwanie do przodu (Forward Lookup Zones) > eksoc.uni.lodz.pl Wyszukiwanie wsteczne *Serwer WINS -Udostępnia rozproszoną bazę danych rejestrującą dynamiczne mapowanie nazw NetBIOS -WINS mapuje nazwy NetBIOS do nazw domenowych 6

7 serw m <- eksoc.uni.lodz.pl (nie wie) -> pl (nie wie, ale wie, że wie to lodz.pl) ->lodz.pl (- -) ->uni.lodz.pl (- -) -> (voila) <- CACHE (TTL) Rozwiązywanie nazw w systemie Windows Wprowadzenie polecenia 2. Lokalna nazwa hosta 3. Plik HOSTS 4. Serwer DNS 5. Pamięć podręczna NetBIOS 6. Serwer WINS 7. Rozgłaszanie 8. Plik LMHOSTS Rozwiązywanie nazswy NetBIOS 1. Wprowadzenie polecenia 2. Pamięć podręczna NetBIOS 3. Serwer WINS 4. Rozgłaszanie 5. Plik HOSTS 6. Serwer DNS... ARP -> protokół odpowiedzialny za mapowanie adresów na adresy cmd arp -a -> adres internetowy na adres MAC ping -> bazuje na ICMP. Jak nie ma odpowiedzi to niekoniecznie musi się odezwać. ping > jak zadziała na localhosts, to nasza karta sieciowa działa, potrafi wysłać pakiet i go odebrać. hostname -> nazwa aktualnego hosta na którym się jest ipconfig -> konfiguracja ustawień sieciowych ipconfig /all -> więcej informacji ipconfig /release -> wyrzucamy adres IP ipconfig /renew -> prosimy o przyznanie adresu IP ipconfig /displaydns -> pokazuje CACHE nazwy hostów ipconfig /flushdns -> czyści CACHE nazwy hostów nbstat -> statystyki protokołu i bieżące połączenia TCP/IP netstat -> stan połączenia aktualny. Albo jesteśmy podłączeni, albo nasłuchujemy pathping -> trasa z naszego hosta do onet. Nie zawsze pełne statystyki pokazuje. tracert -> też śledzi trasę ale do 30 przeskoków getmac -> adresy fizyczne na naszym komputerze. Computer Management -> Services -> Messenger (posłaniec) -> Startup manual -> uruchomić. cmd-> net send den-cl1 "hello" -> wyśle wiadomość za pomocą posłańca cmd -> winchat -> chacik. 7

8 Maska decyduje o tym, gdzie jest częśść adresu sieci. a gdzie hosta. Laboratorium ZASADY ADRESOWANIA * Pierwszą liczbą identyfikatora sieci nie może być 127 * Identyfikator hosta nie może się składać z liczb 255 * Identyfikator hosta nie może składać się z zer * Identyfikator hosta nie może się powtórzyć w danej podsieci Dzielenie sieci: /24 D: /24 2 bity na podsieć kombinacje Nie mogą być same 1 oraz same 0 (broadcast i brama). Można odrzucić 2 skrajne wartości (11 i 00), albo utworzyć z nich podsieci, ale musi być o 1 większy adres bramy i 1 mniejszy adres broadcast. I podsieć /26 Zakres: Broadcast: II podsieć /26 Zakres: Broadcast: /26 ZAD 2 podsieci / ID SIECI Broadcast 8

9 DZIELENIE NA PODSIECI I podsieć / ID Zakres Broadcast II podsieć / ID Zakres Broadcast ZAD 6 podsieci / ID SIECI podsieci -> 3 bity (111 -> 8) - 2 = 6 Kombinacje: > > > > > > 192 I podsieć / ID Zakres Broadcast II podsieć / ID Zakres Broadcast III podsieć / ID Zakres Broadcast IV podsieć / ID Zakres Broadcast V podsieć / ID Zakres Broadcast VI podsieć / ID Zakres Broadcast

10 ZAD Max 30 hostów w podsieci / MASKA ID Sieci 2^x=30 x= > / > /27 ZAD 2 podsieci / MASKA ID > / > /22 10