Материал: Книга Active directory

состоящие из одних нулей, независимо от их длины . Благодаря этому упрощается запись 1Ру6-адресов, поскольку в противном случае нотация IPv6 стала бы очень сложной.

Аналогично IPv4 в пространстве IPv6 используется несколько типов адресов.

Ценность пространства IPV6 состоит в том, что оно обеспечивает очень большое количество адресов. Поскольку п о п у л я ц и я пользователей Интернета растет, увеличивается количество служб и устройств, для которых необходимы IP-адреса, а доступных 1Ру4-адресов становится меньше . Поэтому настало время ввести новую инфраструктуру IP. Обеспечивая 2 1 2 8 (340 миллиардов миллиардов миллиардов миллиардов) адресов, структура IPv6 должна долгое время поддерживать следующую стадию развития Интернета . Сравните это число с 4 млрд 1Ру4-адресов, и вы увидите разницу.

В табл. 9-1 описаны распространенные т и п ы 1Ру6-адресов.

Табл. 9-1. Распространенные типы 1Ру6-адресов

п о д д е р ж к и более д л и н н о г о ф о р м а т а адресов спецификации IPv6. Протокол IPv6 по у м о л ч а н и ю у с т а н а в л и в а е т с я и включается в Windows Vista и Windows

Более подробную информацию о формате IPv6 можно найти по адресу http://www. micrqsoft.com/tecknet/network/ipv6/ipv6rfc.mspx.

Протокол разрешения одноранговых имен

Resolution Protocol) . В о т л и ч и е от системы DNS, которая использует иерархическую структуру именования, протокол разрешения одноранговых имен PNRP для р а з р е ш е н и я и м е н с и с т е м ы задействует одноранговых участников сети. По сути, P N R P я в л я е т с я с с ы л о ч н о й системой, которая выполняет замыкания на основе и з в е с т н ы х д а н н ы х . Н а п р и м е р , когда вы пытаетесь найти компьютер А, располагаясь по соседству с к о м п ь ю т е р а м и Б и В, ваша система запросит у компьютера Б м е с т о п о л о ж е н и е к о м п ь ю т е р а А. Если компьютер Б указывает местоположение, вы получаете с с ы л к у на компьютер А. В противном случае ваша система запросит у компьютера В местоположение компьютера А, а затем использует точной т а к о й же процесс, как и в случае с компьютером Б. Если компьютерам Б и В не и з в е с т н о местоположение компьютера А, ваша система будет п о с ы л а т ь запрос д р у г и м компьютерам по соседству, пока не найдет систему, которой известно м е с т о п о л о ж е н и е компьютера А.

•Систему P N R P можно расширить до м и л л и а р д о в имен — в отличие от системы DNS, которая управляет лишь небольшим числом имен, а затем полагается на еще один DNS - сервер для л о к а л и з а ц и и имен, разрешать которые не имеет полномочий.

• Публикация имен выполняется мгновенно, бесплатно и не требует административного вмешательства, как в случае с DNS .

м Имена обновляются в реальном времени — в отличие от DNS, где для повышения производительности интенсивно используется кэширование. По этой причине PNRP не возвращает старые адреса, как в случае с DNS-сервером,

вчастности старым нединамическим DNS - сервером .

•Система P N R P также поддерживает и м е н о в а н и е служб и компьютеров,

поскольку PNRP - имя содержит адрес, порт и п о т е н ц и а л ь н у ю полезную нагрузку, такую, например, как ф у н к ц и я службы .

• Имена PNRP можно защищать с помощью ц и ф р о в ы х подписей. Защита имен таким способом гарантирует, что их нельзя подделать или заменить фальшивыми именами.

Для разрешения имен P N R P использует концепцию облака. Существуют два отдельных облака. Первым является глобальное облако, содержащее всю глобальную область адресов IPv6, которая полностью охватывает Интернет. Второе — локальное облако канала, которое основано на области локальных 1Ру6-адресов последнего. Локальные каналы обычно представляют отдельные подсети. Допускается существование нескольких локальных облаков каналов и только одного глобального облака.

Поскольку мировое сообщество еще не перешло к IPv6, переход к PNRP также пока не осуществлен и для разрешения имен используются системы DNS.

Более подробную информацию о разрешении имен PNRP можно найти по адресу http://technet.microsoft.com/en-us/library/bb726971.aspx.

Структуры DNS

Система доменных имен DNS появилась в первых разработках Интернета и активно используется по сей день. По этой причине DNS-служба в Windows Server 2008 может обеспечить много ролей. Доступны три типа DNS-серверов.

• Динамические DNS - серверы Предназначены для регистрации имен множества различных устройств с помощью динамических обновлений, которые выполняются динамическими DNS-серверами (DDNS) . Серверы DDNS позволяют устройствам (клиентам и серверам) самостоятельно регистрироваться на DNS-сервере, чтобы другие устройства могли локализовать их. Когда DNS-'служба запускается на контроллере домена и интегрируется со

службой каталогов, она переключается в режим DDNS, позволяя компьютерам, использующим DHCP, автоматически регистрировать свои имена. Таким образом службы AD DS могут локализовать клиента для пересылки данных управления, например объектов групповой политики GPO (Group Policy Object). Серверы D D N S обеспечивают запись и чтение, однако принимают регистрацию только от известных сущностей.

СОВЕТ К ЭКЗАМЕНУ

Отметим, что динамический DNS не включен в темы сертификационного экзамена 70-640. Однако динамические обновления также используются зонами DNS, интегрированными в Active Directory. Когда сервер DNS автоматически обновляется через авторизованных клиентов, он называется DDNS-сервером. Помните об этом при подготовке к экзамену.

С помощью этих трех типов DNS-серверов можно сконструировать стратегию разрешения имен, соответствующую всем требованиям именования (рис. 9-3). Например, вы можете установить в сети пару DDNS-серверов вместе с каждым контроллером домена, так как данные DNS обычно интегрируются с хранилищем каталогов. Поскольку эти данные помещаются в хранилище каталогов, данные DNS реплицируются па каждый контроллер домена, а иногда и в лесу с помощью того же механизма, который реплицирует трафик каталогов. Это означает, что каждый контроллер домена содержит локальную копию данных DNS. Установленная DNS-служба на контроллере домена автоматически получает доступ к его данным и может обеспечить локальные, а не удаленные службы разрешения имен без нагрузки трафика глобальной сети WAN (Wide Area Network). Кроме того, DNS-службу контроллера RODC в режиме только для чтения можно использовать в незащищенных местах сети, где необходимы локальные службы и нет административного персонала. Независимую основную службу DNS также можно использовать в периметре сети. Эти серверы

содержат несколько записей, однако поддерживают доступ к любому приложению или службе в периметре сети. И наконец, дополнительные DNS-серве- ры лишь с правом чтения можно использовать в небезопасных размещениях с подключением к Интернету.

Легенда

ОDDNS-сервер

ООсновной сервер с правом чтения-записи

0 Вторичный сервер лишь с правом чтения или контроллер RODC

Рис. 9-3. Размещение DNS-серверов в сети Windows Server 2008: серверы DDNS установлены вместе с контроллерами домена, основные серверы защищены; контроллеры RODC являются внутренними, а вторичные серверы — внешними

Более подробную информацию о DNS можно найти по адресу kttp://technet2.microsoft. com/windowsserver2008/en/seivermanager/dnsserver.mspx.

Синдром раздвоения личности

Одной из основных доктрин коммуникаций Интернета является сегрегация (отделение) внутренней сети от Интернета. Как небольшие, так и крупные организации с одинаковым усердием стараются защитить свои внутренние сети с помощью множества различных систем и технологий. Наиболее распространенным механизмом защиты является брандмауэр, который защищает сеть путем блокирования нежелательного трафика иа TCP/IP - портах . Разрешенные порты открыты, а неразрешенные закрыты.

Аналогичным образом в Windows Server 2008, в доменных службах Active Directory (AD DS), нужно работать с двумя пространствами имен. Поскольку каталоги AD DS основаны на системе иерархии имен DNS, для именования