Организация работы офисной сети под управлением конкретной ОС

Работа сделана для СГА, там же успешно защищена на "четверку"..
Описывает организацию работы офисной сети под управлением ОС Windows Server 2012 в центральной районной больнице, чей парк насчитывает 80 машин.
В ходе дипломной работе проведена реорганизация работы офисной сети: из одноранговой сети сделана сеть на основе выделенного сервера посредством настройки контроллера домена и соответствующих служб.
Работа выставлена в Интернет впервые.
...

Введение……………………………………………………………………… 3
1 Теоретические основы работы офисной сети……………………………… 6
1.1 Классификация сетевых ОС………………………………………….......... 6
1.2 Проектирование компьютерных сетей………………………………........ 15
1.3 Типовое оборудование для создания офисной сети…………………....... 23
2 Организация работы офисной сети под управлением ОС Windows Server 2012…………………………………………………………………………..................
29
2.1 Описание существующей сети ГБУЗ N-ская ЦРБ………………........ 29
2.2 Реорганизация компьютерной сети………………………………...…....... 34
2.3 Защита данных от потери и несанкционированного доступа………....... 40
Заключение…………………………………………………………………....... 48
Глоссарий……………………………………………………………………….. 51
Список использованных источников………...……………………………….. 53
Список сокращений……………..……………………………………………... 56
Приложение А……………………..…………………………………………… 57
Приложение Б…………...……………………………………………………… 58
Приложение В………………………………………………………………..… 59
Приложение Г…………………………...……………………………………… 60
Приложение Д…………………………...………………………………...…… 61

Компьютерные сети становятся неотъемлемой частью современности. Различные сферы человеческой деятельности компьютеризируются ускоренными темпами. Компьютеризация охватывает муниципальные, государственные, частные учреждения, и чем больше вычислительных машин в организации, чем больше функций они выполняют в конкретном учреждении, тем сложнее сеть, в которую они объединены.
Офисная сеть представляет собой распределенную систему обмена и обработки информации множеством вычислительных машин на небольшой территории внутри предприятия или организации и ориентирована на коллективное использование общесетевых ресурсов – как аппаратных, так и программных и информационных.
Объединение компьютеров в сеть значительно повышает производительность труда, эффективность работы предприятия и ощутимо сокращ ает временные затраты на выполнение организационных задач. К примеру, есть некие данные большого объема, которые нужны пользователям всех компьютеров предприятия. При отсутствии сети приходилось бы копировать эти данные на каждый компьютер, что использовало бы значительную часть памяти, да и времени – если эти данные все время обновляются и всем пользователям нужен именно обновленный вариант. Объединение компьютеров в общую сеть решает эту проблему.
Конечно, кроме офисов и предприятий, компьютерные сети используются в частной жизни для обучения, общения и так далее. Но поскольку тема бакалаврской работы – именно офисные сети, компьютерные сети будут рассмотрены с точки зрения их полезности при организации рабочего процесса в офисе.
Правильно построенная сеть позволяет существенно сократить затраты как финансовые, так и трудовых ресурсов при организации рабочего процесса. Поскольку сети подразделяются на несколько категорий по функциям, архитектуре, размеру и другим параметрам, очень важно построить сеть исходя из задач, которые она должна выполнять.
Актуальность темы бакалаврской работы заключается в том, что на данный момент компьютерные офисные сети востребованы, быстро развиваются и весьма экономят затраты времени и трудовых ресурсов при организации работы в офисе. Информационные технологии позволяют, благодаря компьютерам и компьютерным сетям, хранить, обрабатывать преобразовывать и передавать огромные объемы информации. Такой стремительный скачок в развитии информационных технологий, который можно было наблюдать в двадцатом веке, стал возможен для человечества лишь после создания локальных вычислительные сетей. Собственно, развитие информационных технологий не останавливается по сей день, компьютеризация продолжается и прогресс не стоит на месте.
Объектом исследования выпускной квалификационной работы является сеть ГБУЗ «N-ской ЦРБ», реализуемая под упралением ОС Windows Server 2012.
Целью данного проекта является исследование организации работы офисной сети под управлением определенной операционной системы на конкретном предприятии.
Для достижения этой цели будут выполнены следующие задачи:
1. Рассмотреть теоретические основы построения офисной сети;
2. Провести оценку и анализ существующих операционных систем и выбрать оптимальную;
3. Раскрыть способ организации офисной сети под управлением определенной ОС на предприятии.
Бакалаврская работа состоит из двух глав. В первой главе рассматриваются теоретические основы построения офисных сетей и разбираются вопросы, без знания которых организация работы офисной сети с выделенным сервером было бы затруднительно. Проводится описание современных сетевых операционных систем, этапы проектирования сетей и типовое оборудование, необходимое для построения офисной сети.
Во второй главе описывается организация работы офисной сети, реализуемой в ГБУЗ «N-ская ЦРБ», реорганизация этой сети посредством настройки контроллера домена и сопутствующих служб и, конечно же, описываются применяющиеся способы защиты данных и сети в целом.
При написании ВКР использовалась литература по компьютерным сетям и сетевым технологиям таких авторов, как Олифер В.Г. и Олифер Н.А., написавших несколько книг по сетевым технология и достаточно доступно описывающих как основы компьютерных сетей, так и сетевые операционные системы и даже оборудование IP-сетей. Помимо трудов Олифер В.Г и Н.А, при работе были использованы следующие книги: «Компьютерные сети» Э. Таненбаума, «TCP/IP. Сетевое администрирование» Х. Крэйга, «Локальные сети. Модернизация и поиск неисправностей» А. Поляка-Брагинского и прочие литературные источники, подробнее перечисленные в разделе «Список использованных источников» данной выпускной квалификационной работы.

Но, не смотря на обширность возможностей, главной функцией концентраторов всё же остается передача пакетов по общей разделяемой среде.
Совместное использование несколькими компьютерами общей кабельной системы в режиме разделения времени ведет к значительному снижению производительности сети при большой нагрузке на трафик. Общая среда не справляется с потоком передаваемых кадров, и в сети появляется очередь из компьютеров, ожидающих доступа. Такое явление характерно для всех технологий, которые используют разделяемые среды передачи данных, независимо от используемых алгоритмов доступа. Тем не менее, наиболее часто от перегруженного трафика страдают сети Ethernet с методом случайного доступа к среде.
Потому сети, работа которых организована на основе концентраторов, не способны расширятьсяв требуемых масштабах – при энном количестве компьютеров в сети или при добавлении новых приложений происходит насыщение передающей среды, после чего задержки в ее работе становятся недопустимыми. Такую проблему можно решить при помощи логической структуризации сети с использованием мостов, коммутаторов и маршрутизаторов.
Мост (bridge), как и коммутатор (switching hub), его быстродействующий функциональный аналог – разделяет общую среду передачи данных на логические сегменты. Логические сегменты образуются посредством объединения нескольких физических сегментов (отрезков кабеля) при помощи концентраторов, одного или нескольких. Каждый такой логический сегмент подключается к определенному порту коммутатора. Если на какой-либо из этих портов поступает кадр, повторяет его, но не на всех портах, как это сделал бы концентратор, а только на том порту, к которому подключен сегмент, содержащий компьютер-адресат.
Различия между мостом и коммутатором заключаются в том, что мост в любой момент времени способен осуществлять передачу данных только между одной парой портов, в то время как коммутатор поддерживает потоки данных сразу между всеми своими портами.
Иначе говоря, коммутатор передает данные параллельно, а мост последовательно. Для простоты далее для обозначения этих обеих разновидностей устройств будет применяться термин «коммутатор», потому как все сказанное ниже в равной степени относится и к мостам, и к коммутаторам. Стоит отметить, что в последнее время коммутаторы полностью вытеснили локальные мосты. Мосты применяются только для соединения локальных сетей с глобальными, то есть как средства удаленного доступа, поскольку в этом случае необходимость в параллельной передаче между несколькими парами портов просто не возникает.
Во время работы коммутатора среда передачи данных отдельных логических сегментов остается общей только для тех компьютеров, непосредственно подключенных к этому сегменту. Коммутатор осуществляет связь сред передачи данных различных логических сегментов. Он передает кадры между логическими сегментами только в том случае, если взаимодействующие компьютеры расположены в разных сегментах.
Разделение сети на логические сегменты улучшает производительность сети, если в сети имеются группы компьютеров, которые чаще других обмениваются информацией между собой. В случае, когда таких групп нет, введение в сеть коммутаторов может только ухудшить общую производительность сети, так как принятие решения о том, нужно ли передавать пакет из одного сегмента в другой, требует дополнительного времени. Однако разделение сети на логические сегменты дает преимущество в производительности – трафик локализуется в пределах групп, и нагрузка на их разделяемые кабельные системы существенно уменьшается.
Коммутаторы решают, на какой порт необходимо передать кадр, при помощи анализа адреса назначения, размещенного в кадре, а также на основании информации о принадлежности того или иного компьютера конкретному сегменту, подключенному к одному из портов коммутатора, то есть на основании информации о конфигурации сети. Для того, чтобы собрать и обработать информацию о конфигурации подключенных к нему сегментов, коммутатор должен пройти стадию «обучения», то есть самостоятельно проделать некоторую предварительную работу по изучению проходящего через него трафика. Определение принадлежности компьютеров сегментам возможно за счет наличия в кадре не только адреса назначения, но и адреса источника, сгенерировавшего пакет. Используя информацию об адресе источника, коммутатор устанавливает соответствие между номерами портов и адресами компьютеров. В процессе изучения сети коммутатор просто передает появляющиеся на входах его портов кадры на все остальные порты, работая некоторое время повторителем. После того, как коммутатор узнает о принадлежности адресов сегментам, он начинает передавать кадры между портами только в случае межсегментной передачи. Если, уже после завершения обучения, на входе коммутатора вдруг появится кадр с неизвестным адресом назначения, то этот кадр будет повторен на всех портах.
Коммутаторы, работающие описанным способом, обычно называются прозрачными (transparent), поскольку появление таких коммутаторов в сети совершенно не заметно для ее конечных узлов. Это позволяет не изменять их программное обеспечение при переходе от простых конфигураций, использующих только концентраторы, к более сложным, сегментированным.
Маршрутизатор (router) позволяет организовывать в сети избыточные связи, образующие петли. Он справляется с этой задачей за счет того, что принимает решение о передаче пакетов на основании более полной информации о графе связей в сети, чем мост или коммутатор. Маршрутизатор имеет в своем распоряжении базу топологической информации, которая говорит ему, например, о том, между какими подсетями общей сети имеются связи и в каком состоянии (работоспособном или нет) они находятся. Имея такую карту сети, маршрутизатор может выбрать один из нескольких возможных маршрутов доставки пакета адресату. В данном случае под маршрутом понимают последовательность прохождения пакетом маршрутизаторов.
В отличии от коммутатора, который не знает, как связаны сегменты друг с другом за пределами его портов, маршрутизатор видит всю картину связей подсетей друг с другом, поэтому он может выбрать правильный маршрут и при наличии нескольких альтернативных маршрутов. Решение о выборе того или иного маршрута принимается каждым маршрутизатором, через который проходит сообщение.
Для того, чтобы составить карту связей в сети, маршрутизаторы обмениваются специальными служебными сообщениями, в которых содержится информация о тех связях между подсетями, о которых они знают (эти подсети подключены к ним непосредственно или же они узнали эту информацию от других маршрутизаторов).
Маршрутизаторы позволяют объединять сети с различными принципами организации в единую сеть. Впрочем, они не только объединяют сети, но и надежно защищают их друг от друга. Причем эта изоляция осуществляется гораздо проще и надежнее, чем с помощью коммутаторов. Например, при поступлении кадра с неправильным адресом мост коммутатор обязан повторить его на всех своих портах, что делает сеть незащищенной от некорректно работающего узла. Маршрутизатор же в таком случае просто отказывается передавать «неправильный» пакет дальше, изолируя дефектный узел от остальной сети.
Кроме того, маршрутизатор предоставляет администратору удобные средства фильтрации потока сообщений за счет того, что сам распознает многие поля служебной информации в пакете и позволяет их именовать понятным администратору образом. Нужно заметить, что некоторые коммутаторы также способны выполнять функции гибкой фильтрации, но задавать условия фильтрации администратор сети должен сам в двоичном формате, что достаточно сложно.
При построении сложной сети могут быть полезны все типы коммуникационных устройств: и концентраторы, и мосты, и коммутаторы, и маршрутизаторы (сетевые адаптеры исключены из этого списка потому, что они необходимы всегда). Чаще всего отдельное коммуникационное устройство выполняет только одну основную функцию, представляя собой либо повторитель, либо мост, либо коммутатор, либо маршрутизатор. Но это бывает не всегда удобно, потому как в некоторых отдельных случаях гораздо выгоднее и полезнее иметь в одном корпусе многофункциональное устройство, которое может сочетать эти функции и тем самым позволяет разработчику сети использовать его более гибко.
В идеале можно представить себе универсальное коммуникационное устройство, имеющее достаточное количество портов для подключения сетевых адаптеров, которые объединяются в группы с программируемыми функциями взаимоотношений между собой (по алгоритму повторителя, коммутатора или маршрутизатора). Тем не менее, известно: любая универсализация вредит качеству выполнения узких специальных функций и на современном уровне развития техники такое полностью универсальное устройство пока не появилось, хотя отдельное совмещение функций в одном устройстве иногда выполняется.
Так маршрутизаторы часто могут работать и в качестве мостов, в зависимости от того, как сконфигурировано администратором их программное обеспечение. А вот функции повторителя требуют высокого быстродействия, которое может быть достигнуто только на сугубо аппаратном уровне. Поэтому функции повторителя не объединяются с функциями моста или маршрутизатора.
Для совмещения функций может быть использован другой подход. В специальных устройствах – модульных концентраторах – существуют отдельные компоненты, выполняющие одну из трех описанных основных функций. Эти компоненты реализованы в виде модулей, устанавливаемых в общем корпусе. При этом межмодульные связи организуются не внешним образом, как это обычно делается, когда модули представляют собой отдельные устройства, а по внутренним шинам единого устройства.
Модульные многофункциональные устройства называют концентраторами, что подчеркивает их централизующую роль в сети. В тоже время термин «концентратор» используется не в качестве синонима термину повторитель, а в более широком смысле. В зависимости от комплектации модульный многофункциональный концентратор может одновременно сочетать функции и повторителя, и моста, и коммутатора, и маршрутизатора.
2 Организация работы офисной сети под управлением ОС Windows Server 2012
От теоретических основ можно перейти к практической организации работы офисной сети. Для начала описывается существующая офисная сеть, затем предложение по ее реорганизации и, наконец, защита данных в сети от несанкционированного доступа и от потерь, что немаловажно при организации работы любой сети.
2.1 Описание существующей сети ГБУЗ «N-ская ЦРБ»
В составе ЛВС ГБУЗ «N-ской ЦРБ» насчитывается семьдесят рабочих станций, терминал регистрации и два сервера — сервер с медицинской базой данных и файловый сервер, которые обеспечивают совместную работу клиентов с базой данных и файлами. На медицинском и файловом серверах установлены Windows Server 2012 и Windows Server 2008 соответственно. Схема сети представлена в приложении Б.
Соединение клиентов с серверами осуществляется посредством двух гигабитных 24-портовых свитчей, четырех коммутаторов и километров Ethernet-кабеля.
Гигабитный свитч, как видно из маркировки, способен работать со стандартом Gigabite Ethernet, предоставляющим скорость передачи данных до 1Гбит/c. Гигабитные свитчи соединены между собой витой парой категории 6a. Эта категория (CAT6a) с полосой частот 500 МГц применяется в сетях Gigabit Ethernet, состоит из 4-х пар проводников и способен передавать данные на скорости до 10 Гбит/с на расстояние до ста метров.
Также в состав сети входит криптомаршрутизатор, маршрутизатор с файерволлом и модем, которые опеспечивают доступ к защищенной виртуальной сети VPN (Virtual Private Network), созданной для обмена персональными данными первой категории между больницами. Таким образом, каждой больнице, подключенной к VPN, доступна медицинская база данных любой из остальных больниц, подключенных к VPN. Принцип построения сети VPN посредством нескольких маршрутизаторов представлен в приложении В.
К персональным данным первой категории относятся данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни (Федеральный закон РФ от 27 июля 2006 года № 152-ФЗ «О персональных данных»). То есть, по сути, большая часть медицинской базы данных относится к информации о состоянии здоровья, что является первой категорией персональных данных.
Криптомаршрутизаторы предназначены для создания защищенных виртуальных корпоративных сетей на базе незащищенных каналов и сетей передачи данных. Они являются пограничными устройствами, включаемыми между защищаемыми сегментами сети и незащищенной коммуникационной средой. При этом криптомаршрутизаторы обеспечивают сквозное взаимодействие защищенных локальных сетей TCP/IP при обмене информацией, составляющей государственную тайну, через незащищенную коммуникационную среду.
При передаче информации по каналам связи криптомаршрутизатор обеспечивает автоматическое сквозное шифрование информации с гарантированной стойкостью и имитозащиту, а также оказывает дополнительные услуги безопасности: конфиденциальность трафика, контроль целостности пакетов данных, аутентификацию источника данных, управление доступом.
Маршрутизатор с файерволом (файервол еще называют межсетевым экраном) подключен к Интернету через модем и защищает компьютерную сеть от несанкционированного доступа, фильтруя пакеты, не подходящие под критерии, которые определены в конфигурации. Делает он это с помощью преобразователя сетевых адресов NAT (Network Address Translation).
NAT – механизм в сетях TCP/IP, преобразующий IP-адреса транзитных пакетов. Преобразование IP-адреса методом NAT может быть реализовано почти любым маршрутизирующим устройством, например, сервером доступа, собственно, маршрутизатором или межсетевым экраном. Наибольшую популярность имеет SNAT, механизм которого заключается в замене адреса источника (англ. source) при прохождении пакета в одну сторону и обратной замене адреса назначения (англ. destination) в ответном пакете. Вместе с адресами источник/назначение заменены могут быть также номера портов источника и назначения.
При приеме пакета от локального компьютера, роутер смотрит на IP-адрес назначения. Если этот адрес локальный, пакет пересылается другому компьютеру локальной сети. Если нет, пакет пересылается из локальной сети в Интернет. Но ведь обратным адресом в пакете указан локальный адрес компьютера, который доступен только из локальной сети, но не из Интернета. Поэтому роутер сразу же транслирует (подменяет) обратный IP-адрес пакета на свой внешний (видимый из интернета) IP-адрес и меняет номер порта (чтобы различать ответные пакеты, адресованные разным локальным компьютерам). Комбинацию, которая нужна для обратной подстановки, сохраняется во временной таблице роутера. Через некоторый промежуток времени после того, как клиент и сервер закончат обмениваться пакетами, запись о n-ом порте во временной таблице роутера будет удалена за сроком давности.
Как уже было сказано, в сети два сервера - файловый сервер и сервер с медицинской базой данных.
На файловом сервере стоит ОС Windows Server 2008, выпущенная в 2008 году компанией Microsoft. На этом сервере хранятся различные файлы с документацией организации в электронном виде, полезные при работе основных служб ГБУЗ «N-ская ЦРБ». Все эти файлы хранятся в отдельной папке, свободный доступ к которой открыт пользователям сети.
Сервер с медицинской базой данных работает под ОС Windows Server 2012. Это новейшая из серверных операционных систем линейки Windows Server, интерфейсом весьма похожая на Windows 8. Впрочем, неудивительно, раз ее кодовое имя «Windows Server 8». К серверу с медицинской базой данных организован терминальный доступ.
Общий принцип работы средств терминального доступа заключается в следующем. Пользователь запускает на рабочей станции клиентское приложение средства терминального доступа и при помощи этого приложения обращается к удаленному компьютеру-серверу, содержащему соответствующую серверную часть данного средства. Если аутентификация прошла успешно, серверная часть средств терминального доступа реализует для пользователя собственный сеанс работы, где либо вручную самим пользователем, либо автоматически (в зависимости от настроек сеанса и прав доступа) в адресном пространстве сервера запускаются нужные пользователю приложения. При всем при этом пользовательский интерфейс запущенных таким образом приложений доступен пользователю рабочей станции в окне клиентской части средства терминального доступа и пользователь с помощью клавиатуры и мыши рабочей станции может управлять данным приложением. По окончании сеанса пользователя все приложения, выполнявшиеся в нем, закрываются.
На сервере с медицинской базой данных хранится база данных с персональными данными первой категории. Доступ к базе обеспечивает Microsoft SQL Server 2012 - система управления реляционными базами данных (СУРБД), разработанная корпорацией Microsoft.
Реляционная модель ориентирована на организацию данных в виде двумерных таблиц. Каждая реляционная таблица представляет собой двумерный массив и обладает следующими свойствами:
1. Каждый элемент таблицы - один элемент данных.
2. Все ячейки в столбце таблицы однородные, то есть все элементы в столбце имеют одинаковый тип (числовой, символьный и т. д.).
3. Каждый столбец имеет уникальное имя.
4. Отсутствие одинаковых строк в столбце.
5. Порядок следования строк и столбцов может быть произвольным.
Основной используемый язык запросов в Microsoft SQL Server – Transact-SQL, созданный совместно Microsoft и Sybase. Transact-SQL – реализация стандарта ANSI/ISO по структурированному языку запросов с расширениями. Используется для работы с базами данных размером от персональных до крупных баз данных масштаба предприятия; конкурирует с другими СУБД в этом сегменте рынка.
Доступ к медицинской базе данных осуществляется только после введения логина и пароля. Логины с паролями есть не у всех пользователей сети, а только у операторов отдела АСУ, работников регистратуры и во врачебных кабинетах. У служб ГБУЗ «N-ская ЦРБ», напрямую не относящихся к работе с медицинской базой – таких как бухгалтерия, экономисты – доступа к базе на сервере нет.
Рабочие станции ГБУЗ «N-ская ЦРБ» объединены в сеть посредством сетевых коммутаторов и Ethernet кабеля стандарта 10BASE-T.
Коммутатор – это устройство, предназначенное для соединения нескольких узлов компьютерной сети в пределах одного или нескольких сегментов сети. Коммутаторы работают на втором (канальном) уровне модели OSI. Коммутаторы были разработаны с использованием мостовых технологий и часто рассматриваются как многопортовые мосты.
От несанкционированного доступа к серверу с медбазой защищает электронный замок ПАК «Соболь». Это аппаратно-программное средство защиты компьютера от несанкционированного доступа (аппаратно-программный модуль доверенной загрузки). Подробнее о котором будет рассказано в параграфе 2.3.
Помимо всего вышеописанного, в сеть ГБУЗ «N-ская ЦРБ» включен терминал регистрации. Терминал регистрации – это не совсем обычный компьютер, выполненный в виде терминала самообслуживания и имеющий сенсорный экран. К терминалу регистрации может подойти любой желающий, чтобы записаться на прием к врачу в поликлинике самостоятельно, минуя большие очереди в регистратуру. Записаться возможно только в том случае, если у потенциального пациента есть ЭМК (электронная медицинская карта). Проще говоря, если записывающийся на прием уже хоть раз обращался в любую из поликлиник и есть в базе данных. Как я уже говорила, все больницы подключены к общей защищенной сети, и терминал регистрации имеет к ней доступ. Это значит, что если записывающийся на прием ранее был в другой больнице – это не станет проблемой, информация о нем все равно будет получена из общей защищенной сети.
На экране устройства отображается только расписание работы врачей, свободное время, на которое можно записаться и некоторые данные записывающегося. Пациент может найти себя в базе данных по дате рождения и номеру документа.