Кодовое имя «Longhorn»

Сергей «grinder» Яремчук (grinder@ua.fm, tux.in.ua)

Хакер, номер #113, стр. 113-128-1

Windows Server 2008: обзор нововведений

Появление нового продукта от Microsoft всегда вызывало ажиотаж. И релиз серверной ОС Windows Server 2008 «Longhorn» – не исключение. Еще задолго до официального выхода «длиннорога» в обзорах и пресс-релизах обещали много свежих фич. Посмотрим, что мы получили на деле.

Горячие новости

Разработка новой версии серверной ОС велась несколько лет (Beta 1 была представлена еще в 2005 году), параллельно с Win2k3, которую она и призвана заменить. Версия построена на том же ядре, что и Vista SP1, имеет схожие архитектуру и функции. Кстати, некоторые возможности по безопасности, управлению и администрированию, заложенные в Vista (групповые политики, управление учетными записями, работа с NAP), будут полностью доступны только при наличии контроллера домена на новом сервере.

По сравнению с Win2k3 изменений очень много. Начнем с того, что ядро (ntoskrnl.exe) изначально заточено под многопроцессорные системы. Диспетчер памяти также претерпел усовершенствования, повысившие производительность. Отмечается ускорение работы с файлами большого объема за счет того, что новая система избавилась от ограничения в 64 Кб на объем операций ввода-вывода, доставшегося в наследство еще от первой NT. При упреждающем чтении диспетчером кэша считывается вдвое больший объем данных. Изменен алгоритм работы с файлом подкачки. В Vista и 2k8 появилась новая версия протокола SMB 2.0 – теперь символические ссылки обрабатываются правильно, а пакетная обработка данных позволяет передавать больший объем информации. Произведен полный редизайн сетевого стека.

Утилита DCPROMO переработана и стала на порядок проще в использовании. При установке можно выбрать контроллер домена, с которого будет произведена репликация, не нагружая основной контроллер. На порядок удобнее и понятнее выглядит процедура перевода контроллера в другой домен или лес. Нельзя не отметить, что на последнем этапе настройки появилась кнопка «Export Setting», нажатие на которую позволит сохранить все установки в файл ответов, который можно использовать на других компьютерах. Плюс ко всему, теперь параметры DCPROMO можно ввести прямо в командной строке. Но это косметика. Главная новинка – появление контроллеров доменов только для чтения (Read-Only Domain Controller – RODC). Этот тип DC предназначен, в первую очередь, для использования в филиалах, где крайне сложно обеспечить физическую безопасность контроллера домена. RODC содержит незаписываемую и доступную только для чтения копию базы данных Active Directory со всеми объектами и атрибутами.

Не менее интересно появление новой службы сетевой политики и доступа (Network Policy and Access Service), пришедшей на смену IAS (Internet Authentication Server). Надо сказать, она гораздо функциональнее, чем RADIUS сервер. Одним из основных компонентов является Защита доступа к Сети (Network Access Protection – NAP). Ее применение позволяет гарантировать, что узел, подключающийся к Сети, удовлетворяет требованиям безопасности и установленным политикам. Агент NAP, работающий на клиентском компьютере, передает маркеры System Health Validators (SHV), содержащие информацию о соблюдении установленных требований серверу сетевых политик (NPS). Последний не входит в установку по умолчанию, поэтому его необходимо предварительно развернуть. Требования к подключаемому компьютеру прописываются в политиках запроса соединения (Connection Request Policies). Сервер может получить один из нескольких маркеров в зависимости от события: работает ли антивирус и антишпионское ПО, обновлены ли базы, установлены ли последние заплатки, включен ли межсетевой экран. На основании этого компьютер получает полный или ограниченный доступ в Сеть.

Единственный недостаток системы в том, что агента NAP для *nix и версий Windows до XP в природе не существует. А значит, компьютеры с такими операционками выйти в интернет не смогут. В сетях со смешанным составом систем использование NPS будет затруднительно, а то и невозможно.

Полностью переработан IIS 7.0, который имеет модульную архитектуру. По умолчанию в его состав входит 40 модулей, которые разбиты на 8 категорий (администратор самостоятельно включает только то, что действительно необходимо). К сожалению, FTP-сервер изменения не затронули.

Установка Win2k8

Как и прежде, доступно несколько редакций сервера, ориентированных на определенное окружение или задачу. К редакциям Standard, Enterprise, Datacenter и Web (для 32х и 64х битных систем) добавилась редакция для серверов на платформе Itanium – Windows Server 2008 for Itanium-Based Systems. Сообщается, что это будет последняя версия этой ОС, имеющая 32х битный вариант. Отдельно идут редакции, не включающие средство виртуализации – гипервизор Hyper-V. Их можно узнать по префиксу without Hyper-V, и цена на такие системы будет ниже. Лицензируется «длиннорог» аналогично предыдущей версии, а виртуальная среда требует отдельного лицензирования. Работы по Hyper-V еще не закончены, пока доступна только тестовая версия. Финальную обещают в августе.

Минимальными требованиями являются: процессор 1 ГГц (x86) или 1.4 ГГц (x64), ОЗУ 512 Мб и 10 Гб свободного места на жестком диске. Как обычно, рекомендуемые можно смело умножать на два.

Дистрибутив для тестирования свободно скачивается с сайта корпорации. По дефолту он будет полностью работоспособен в течение 60 дней, но прочитав на сайте Майкрософт статью под номером 948472, ты узнаешь, как продлить оценочный период до 240 дней. Этого вполне достаточно, чтобы полностью и вполне законно изучить новинку.

Проверить количество дней, оставшихся до окончания текущего 60-тидневного периода, можно, введя команду «slmgr.vbs –dli».

Разработчики крайне упростили процесс установки, удалив некоторые шаги и сделав его быстрым и максимально понятным. Если нет кода активации, мастер установки предложит автоматически активировать Windows.

Стоит отметить наличие удобного интерфейса, при помощи которого можно подготовить жесткий диск к установке. В версии 2k3 администратор мог лишь выбрать и отформатировать раздел. Теперь есть возможность разделить диск на несколько разделов, просто выбрав New и введя требуемый размер. При нажатии Format выбранный раздел отформатируется без лишних запросов о типе файловой системы.

И еще одна новинка – администратор может выбрать два варианта установки (правда, не во всех редакциях): Full или Core Installation. Во втором случае устанавливаются лишь необходимые компоненты с ограниченным защищенным набором ролей, а графический интерфейс полностью отсутствует. Такая система априори имеет большую защищенность. Все управление будет осуществляться только при помощи командной строки. К сожалению, переключиться затем на стандартный интерфейс нельзя, сервер придется переустановить.

Во время создания пароля администратора обрати внимание на небольшую ссылку «Create a password reset disk». Нажатие на нее вызовет мастера, при помощи которого создается дискета (именно дискета!) восстановления пароля.

По сравнению с Win2k3 рабочий стол системы не изменился. Если есть желание, можно доустановить элементы интерфейса и сделать его идентичным Aero из Vista.

Инструменты админа

Изменились и инструменты администрирования сервера. При первой загрузке тебя встретит «Initial Configuration Tasks», чье назначение совпадает с «Управлением данным сервером» из Win2k3. Последний был малополезен, поэтому после установки удостаивался флажка «Не показывать эту страницу при входе в систему». Возможностей у «Initial Configuration Tasks» на порядок больше, чем просто управление ролями и созданными серверами. С его помощью можно установить часовой пояс, имя компьютера, настроить сеть и Windows Firewall, обновить сервер, добавить роль и компоненты (Features). В большинстве пунктов запускается простой мастер, который за несколько шагов поможет быстро развернуть нужную функциональность. В комплекте поставляется 16 ролей (задач), на которые ориентирован конкретный сервер (AD, сертификация AD, Network Policy Server, файловый сервер и другие). Ожидается, что вскоре для загрузки будут доступны дополнительные роли, вроде службы потокового мультимедиа.

Все, что не является обязательным, отнесено к компонентам. Например, шифрование диска BitLocker, балансировка сетевой нагрузки (Network Load Balancing), PowerShell, серверы и клиенты Telnet, SMTP, SNMP, управление групповой политикой, диспетчер съемных носителей и др. Выбор ролей и компонентов (вместо полной установки) повышает стабильность и безопасность.

В отличие от предыдущих версий Windows имеющиеся мастера позволяют устанавливать и удалять сразу по нескольку ролей, служб и компонентов за один сеанс. При этом производятся проверки зависимостей, обеспечивающих установку всех необходимых ролей и служб ролей. Роли устанавливаются с рекомендованными параметрами безопасности, которые можно изменить, запустив Security Configuration Wizard (мастер настройки безопасности). Он, кстати, заменил secedit.

Чтобы подготовить сервер к одной из ролей, достаточно запустить мастер установки. Большинство ролей состоит из нескольких элементов под названием Службы ролей (Role Services). Например, в роли Network Policy and Access Service доступно 6 Role Services, каждый из которых добавляет функциональности. Если возникнет необходимость, всегда можно, использовав мастер, установить или удалить Role Services из окна Server Manager. Следует признать: теперь настройка некоторых сервисов потребует чтения документации.

Взглянув на список свойств сетевого интерфейса в Network Connections, можно заметить, что, кроме IPv4, по умолчанию поддерживается и IPv6. В серверной версии ОС от Microsoft это применяется впервые. Выбрав настройку протокола, обнаружим еще одну вкладку – Alternate Configuration. Тут вводятся данные других сетей, к которым подключен сервер. Компонент Link-Layer Topology Discovery Mapper предназначен для поиска компьютеров и других устройств в сети, а включенный Responder позволяет остальным узлам видеть этот компьютер.

Существенно переработан Task Scheduler, ставший куда функциональнее. Теперь задачи можно привязать к установленным на сервере приложениям.

Диспетчер сервера Server Manager

В «Панели Управления» также есть нововведения. Мастер, появляющийся при нажатии Add Hardware, поможет установить драйвер для старых устройств, не поддерживающих P-n-P. В Network and Sharing Center определяются использование общего доступа к каталогам, файлам и принтерам, защита общих ресурсов паролем, видимость компьютера в сети.

Знакомые инструменты из Administrative Tools подверглись переработке. Главное новшество – появление диспетчера серверов (Server Manager), который заменил целую группу утилит из Computer Management в Win2k3. Все настройки теперь собраны в одном месте и администратору не нужно их искать. Большая часть инструментов, доступных в самом Administrative Tools, продублирована в Server Manager. Это полностью соответствует концепции ролей и компонентов, а также общему подходу к упрощению настроек. Диспетчер серверов способен управлять практически всеми компонентами сервера, влияющими на производительность и безопасность, а также просматривать информацию об их работе. Он является единым источником, отображающим состояние сервера и определяющим проблемы в настройке. Основное окно консоли Server Manager содержит четыре раздела: сводку по серверу (сведения о компьютере и безопасности), сводку по ролям, сводку по компонентам, а также материалы и поддержку. Здесь же доступны ссылки, позволяющие изменить состав ролей и компонентов или перейти к настройке параметров конкретного модуля.

После установки каждая роль получает собственную страницу в диспетчере. На странице предлагается набор рекомендованных настроек для данной роли и справка, указывающая пользователю на задачи, которые необходимо выполнить для корректной настройки функций роли. Всю важную информацию и команды диспетчер выводит в самом верху. Это удобно, так как администратор всегда оказывается в курсе происходящего. Так как событий, относящихся к конкретной роли, – море, предусмотрены средства фильтрации. Наличие событий, которые должны заинтересовать админа, подсвечиваются значком в виде восклицательного знака, появляющимся напротив роли или компонента.

При помощи ссылок, расположенных справа, администратор может получить доступ к тем системным настройкам, которые не относятся к ролям и компонентам (не обязательно вызывать их из Administrative Tools). Отсюда можно настроить планировщик задач, сервисы, WMI, пользователи и группы, работу межсетевого экрана, а также получить доступ к диспетчеру устройств. В отдельной вкладке Storage находятся настройки, отвечающие за работу систем хранения информации: Windows Server Backup и Disk Management. Консоль последнего позволяет быстро перейти к настройкам (Shadow Copy, квоты и прочее) и проверкам дисков системы без необходимости вызова окна «Мой Компьютер».

Межсетевой экран

Отдельно отметим межсетевой экран, встроенный в Win2k8. Это совершенно новый продукт. Теперь правила можно задавать как для входящего, так и исходящего трафика. В настройках по умолчанию входящие соединения запрещены, а исходящие – разрешены. Основные настройки Windows Firewall производятся из Server Manager или из одноименного пункта в Administrative Tools. Предварительные установки доступны и в Initial Configuration Task. Для редактирования доступно три профиля – доменный (Domain), пользовательский (Private) и общий (Public). Мастер, запускающийся при создании нового правила, поможет задать приложение, порт, протокол, интерфейс, а также пользователей и компьютеры. Отдельно указывается профиль для защищенного соединения IPSec. Фильтры позволяют быстро отобрать правила, удовлетворяющие определенным условиям для просмотра и редактирования. Созданные рулесеты можно экспортировать.

Смотритель журналов

С просмотра журнальных записей начинают свой рабочий день все администраторы. Event Viewer, доступный в «длиннороге», подвергся существенным изменениям. Он позволяет получить статистику по событиям любого вида. Его можно вызвать и как отдельное приложение, и через Server Manager. Выполнен он в едином для Win2k8 стиле и смутно напоминает систему мониторинга Microsoft Operations Manager. В окне Summary можно быстро просмотреть список источников, генерирующих события определенной критичности. Сразу же отображается количество подобных событий за час, сутки, неделю и общее. Количество журналов, представленных в Event Viewer, значительно больше, чем в предыдущих версиях. Для просмотра событий администратор может самостоятельно создавать или импортировать из XML-файлов наборы фильтров. Еще одно новшество – появление Subscriptions.

Активировав Windows Event Collector Service, можно указать, с каких компьютеров какие события нужно получать, а также место их хранения. Щелкнув по конкретному событию, можно просмотреть более подробную информацию. В принципе, для сетей, где не используются другие средства мониторинга, возможностей Event Viewer должно хватить. Но есть еще одна особенность, привлекающая внимание, – а именно настройка реакции на конкретное событие. Достаточно отметить интересующее событие и в контекстном меню выбрать пункт «Attach Task To This Event», как сразу откроется окно мастера Create Basic Task Wizard, где в качестве реакции можно настроить: отправку на e-mail, вывод сообщения и запуск внешней программы.

Акценты поменялись

Из обзора видно, что в Win2k8 основные акценты сделаны на увеличение безопасности, на упрощение установки как самой ОС, так и сервисов, предоставляемых ей, а также на удобство последующих настроек. Будем надеяться, что «длиннорог» не будет содержать такого большого количества ошибок, как предыдущие версии этой системы.

INFO

Используя утилиту ServerManagerCmd.exe, можно установить и удалить роли, службы ролей и компоненты.
Проверить количество дней, оставшихся до окончания текущего 60-тидневного периода, можно, введя команду «slmgr.vbs –dli».
Командой «slmgr.vbs –rearm» сбрасывается текущий пробный период, но делать это раньше, чем через 60 дней, не рекомендуется. Дождись окончания текущего!
К сожалению (или к счастью), существенных изменений в работе с файловой системой нет.

WWW

Официальную информацию по Longhorn можно получить по адресу: www.microsoft.com/windowsserver2008.
В статье 948472 от 21 марта, которую ты можешь найти на сайте Майкрософт, дана информация о том, как продлить оценочный период до 240 дней.
Обзор Beta 3 читай на сайте ][ – www.xakep.ru/post/41325.

Содержание