Serverdienste

Datei- & Druckerserver, DHCP und DNS (Version: 14. Februar 2022)

INHALTSVERZEICHNIS

1. Severkonzept

2. Dateiserver
2.1 Zugriffsrechte
2.2 Neuer Harddisk in Betrieb nehmen (WIN)
2.3 Harddiskpflege
2.4 Dateifreigabe (WIN)
2.5 UNC-Pfad

3. Druckerserver
3.1 Seitenbeschreibungssprache
3.2 Druckertreiber
3.3 Drucker in Kleinnetzwerken
3.4 Druckerkonfiguration über Bedienfeld
3.5 Druckerkonfiguration über Webserver
3.6 Drucker-IP-Adresse konfigurieren mit arp
3.7 Der dedizierte Druckerserver
3.8 Vorteile von Spooling
3.9 Vorteile von Druckerpools
3.10 Druckerserver-Features

4. DHCP
4.1 DHCP Nachrichten
4.2 APIPA / Zero-Conf
5. DNS
5.1 Die Webanfrage richtig adressieren
5.2 Die Domäne oder Domain
5.3 Top-Level-Domain
5.4. Subdomain
5.5. Fully Qualified Domain Name 5.6 URL
5.7 DNS-Zonen
5.8 Unterschied zwischen Domain und Zone
5.9 Resource Record (RR)
5.10 Die Forward- und Reverse-Lookup-Abfrage
5.11 Autoritative, rekursive, iterative Nameserverabfrage
5.12 Namensauflösung aus einem Intranet heraus
5.13 Dynamische DNS-Server-Updates
5.14 Die lokale Hostdatei
5.15 DNS Tools
5.16 Alternativen zur DNS-Namensauflösung
5.17 Verbindungsspezifisches DNS-Suffix
5.18 DNS-Sicherheitsrisiken

6. Verzeichnisdienst

7. Testen und Überwachen

8. Vollständiger Campus

1. Serverkonzept

Soll ein serverbasiertes Netzwerk eingerichtet werden, müssen zuvor folgende Konzepte erstellt werden:

  • Namenskonzept
  • Dateikonzept
  • Benutzer und Berechtigungsmatrix
  • Adressierungskonzept
  • Netzwerkkonzept

Namenskonzept

Alle Objekte benötigen eindeutige und systemverträgliche Namen. Überlegen sie sich darum, wie sie z.B. sperrige Mitarbeiternamen im System abbilden, auch hinsichtlich der Zeichenanzahlbeschränkung und der Vermeidung von Umlauten und Sonderzeichen. Einige Firmen vergeben ihren Servern Namen von Bergen, wie z.B. Pilatus, Eiger, Matterhorn etc. oder Südseeinseln. Andere codieren z.B. die Raumbezeichnungen in ihre Hostnamen wie z.B. PC-B1-01 was soviel heisst, wie PC Nr. 01 in Büro1.

Benutzer und Dateikonzept (Berechtigungen)

Wurde im Dokument «Personalcomputer» schon beschrieben. Siehe "Benutzer- und Gruppenmatrix" und "Verzeichnis- und Berechtigungsmatrix".

Adressierungskonzept

(Alle Objekte benötigen IP-Adressen)

Netzwerkkonzept

Dazu erstellen sie ein «Logisches Layout», wobei die Bezeichnungen, IP-Adressen, etc. mit denen im Namens- und Adresskonzept übereinstimmen sollten.

2. Dateiserver

Dateiserver oder Fileserver. Das Betreiben eines mit Zugriffsrechten geschützten Dateiservers ist erst dann sinnvoll, wenn die Benutzerverwaltung mit einem Verzeichnisdienst (Directory Services) zentral erfolgt. Bei Microsoft ist dieser Dienst unter dem Begriff ActiveDirectory bekannt. Sobald man bei einem Rechner Dateifreigaben erstellt, kann man von einem Dateiserver oder Fileserver sprechen.

Einschränkung der Anzahl Verbindungen

Microsoft Windows schränkt die Anzahl Verbindungen ein, die ein ressourcenfreigebender Rechner eingehen darf. (Dateifreigaben, Maximale Anzahl von Benutzern)

  • PC Windows V10pro: 20
  • Server Windows V2022 Essential: 25
  • Server Windows V2022 Standard/Datacenter: Basierend auf Clientzugriffslizenzen → CAL=Client Access License

2.1 Zugriffsrechte

Zugriffrechte bzw. Benutzerrechte → nochmals das Wichtigste in Kürze:

  • Zugriffsrechte in UNIX: Unix als klassisches Mehrbenutzerbetriebssystem verfügt seit der ersten Version (1974) über Dateirechte und unterscheidet drei Benutzerklassen Inhaber (User), Gruppe (Group) und «alle anderen» (Others). Für jede Datei und jeden Ordner kann für jede dieser Klassen die Rechte Lesen (Read), Schreiben (Write) und Ausführen (eXecute) unabhängig voneinander zugewiesen werden. Neben diesen Dateirechten gibt es zudem noch die drei erweiterten Dateirechtbits Set user identity, Set group identity sowie das Sticky Bit.
    Unix-Befehle:
    chmod für das Ändern der Zugriffsrechte rwx
    chown für das Ändern des Besitzers
    chgrp für das Ändern der Besitzergruppe
    In der Unix-Welt versteht man unter ACL (Access Control List) eine Erweiterung der klassischen Zugriffssteuerung auf Ebene des Besitzer-Gruppe-Welt-Modells. Auf diese Weise lassen sich Zugriffsrechte spezifisch für einzelne Benutzer zuteilen oder verbieten.
  • Zugriffsrechte in Microsoft-Windows. Unter Windows steht dank Benutzung des NTFS-Dateisystems die Möglichkeit zur Verfügung, erweiterte Datei-Zugriffsrechte zu benutzen. Jedem Betriebssystemobjekt (Datei, Prozess etc.) wird ein Zugriffskontrolldeskriptor zugeordnet, der eine ACL enthalten kann. Ist keine ACL vorhanden, so erhält jeder Benutzer Vollzugriff auf das Objekt. Ist die ACL vorhanden, aber leer, so erhält kein Benutzer Zugriff.
    ACL’s werden defaultmässig vererbt. Die Vererbung kann aber auch ausgeschaltet werden. Wird die ACL eines übergeordneten Verzeichnisses geändert, so hat dies je nach gewählter Vererbung Auswirkungen auf die darunterliegende Verzeichnisstruktur.
    (Weiterführendes findet man unter den Begriffen ACL - Beschränkte und erweiterte Sicherheitseinstellungen unter Windows)

2.2 Neuer Harddisk in Betrieb nehmen (WIN)

Ausser bei Hot-Swap fähigen RAID-Systemen muss ein HD-Tausch oder HD-Erweiterung bei ausgeschaltetem Rechner erfolgen. Nach dem Booten des Rechners werden folgende Schritte in der Computerverwaltung unter Datenträgerverwaltung (Konsolenaufruf diskmgmt.msc) nötig:

  • Datenträger initialisieren
  • Auf Datenträger neue Partition erstellen
  • Festlegen ob primäre oder erweiterte Partition
  • Partitionsgrösse in MB angeben
  • Laufwerksbuchstabe zuweisen oder leeren Ordner als «Mountpoint» bereitstellen
  • Dateisystem festlegen (Bei WIN vorzugsweise NTFS)
  • Datenträger bzw. Partition formatieren
Hinweis zu Dateisystem: Das bei Memorysticks weit verbreitete FAT-Dateisystem hat Einschränkungen in der max. Dateigrösse, der Partitionsgrösse und unterstützt zudem keine Zugriffsrechte. Dafür kann es von allen Betriebssystemen WIN, Linux, OSX etc. gelesen und beschrieben werden.

2.3 Harddiskpflege

Bei magnetischen Speichermedien wie Harddisks soll man gelegentlich die Fragmentierung überprüfen (Verstreute Speicherung von logisch zusammengehörigen Datenblöcken des Dateisystems auf einem Datenträger) und allenfalls eine Defragmentierung durchführen. Dies ist bei SSD’s (Solid-State-Disks) nicht nötig und wegen der begrenzten Anzahl von Schreibzyklen sogar kontraproduktiv.

2.4 Dateifreigabe (WIN)

Dem WIN-Server muss zuerst die Dateiserverfunktion hinzugefügt werden. Danach folgen diese Schritte:

  • Datenträgerkontingente festlegen (Wieviel Speicher darf ein Benutzer maximal belegen)
  • Freizugebender Ordnerpfad angeben
  • Freigabenamen und Pfad bestimmen (UNC-Pfad)
  • Zugriffsrechte regeln
Die Freigabe kann mit folgenden Befehlen überprüft werden:
  • netstat
  • net share
  • net use
  • Dateiserververwaltung – Freigegebene Ordner verwalten (zeigt z.B. die Anzahl Clients mit einer Netzlaufwerkverbindung zum Server an)

2.5 UNC-Pfad

UNC-Pfad bedeutet Unified Naming Convention Pfad und ist ein Standard zur Bezeichnung von Netzwerkadressen in der Form:

  • \\Hostname\Freigabename
  • \\IP-Adresse\Freigabename
  • \\FQDN\Freigabename




Praxisaufgabe ∇ AUFGABEN
∇ LÖSUNGEN

3. Druckerserver

Druckerserver oder Printserver. Ein Text wird nicht als ASCII-File an einen Drucker gesendet, sondern in einer speziellen Seitenbeschreibung, die auch z.B. Informationen über das Aussehen des Textes (Formatierung, Font etc.) enthät.

3.1 Seitenbeschreibungssprache

Die Seitenbeschreibungssprache beschreibt den exakten Aufbau einer Seite, wie diese später von einem Drucker gedruckt aussehen soll. Mit Hilfe der Seitenbeschreibungssprache wird für eine zu druckende Aufgabe ein Datenstrom erzeugt, welcher dann an den Drucker gesendet wird. Eine Seitenbeschreibungssprache hat auch den Zweck, alle Druckertypen über eine gemeinsame Standardsprache ansteuern zu können.
Wenn ein Textprogramm ein Dokument ausdrucken soll, muss es dieses vorerst in eines der folgenden Formate (Seitenbeschreibungssprache) umwandeln. Hier eine Auswahl:

  • PCL6 (Printer Command Language – Aktuelle Version 6) wurde von Hewlett-Packard mit dem Ziel entwickelt, alle Druckertypen über eine gemeinsame Standardsprache ansteuern zu können – Hohe Verbreitung
  • PostScript ist eine Seitenbeschreibungssprache, die in den frühen 1980er Jahren von Adobe Systems entwickelt wurde und auch heute noch als Druckerseiten-Beschreibungssprache Verwendung findet
  • XPS (XML Paper Specification) ist ein Dateiformat für Dokumente, das von der Firma Microsoft entwickelt wurde
  • HP-GL (Hewlett Packard Graphic Language) ist eine Seitenbeschreibungssprache zur Ansteuerung von Stiftplottern
(Übrigens: Im ASCII-Zeichensatz sind auch einfache Druckkommandos vorhanden)
In den Spezifikationen des jeweiligen Druckers ist nachzulesen, welche Seitenbeschreibungssprache er unterstützt.

3.2 Druckertreiber

Ein Druckertreiber oder Gerätetreiber ist ein Computerprogramm oder Softwaremodul, das die Interaktion mit angeschlossenen Druckern steuert. Der Druckertreiber ist Druckerspezifisch und unterstützt die speziellen Druckereigenschaften wie z.B.:

  • Schwarz/Weiss oder Farbdruck
  • Druckerauflösung in dpi (Dots per inch)
  • Randloses Drucken
  • Duplexdruck (Beidseitiger Druck)
  • Papierfächer
(Der Druckertreiber ist immer auf dem Client zu installieren, auf dem ausgedruckt werden soll. Nur so ist der Client in der Lage, die zu druckende Seite gemäss den Möglichkeiten des angeschlossenen Druckers darzustellen wie z.B. in der WORD-Seitenansicht)
Die aktuellen Druckertreiber sind üblicherweise auf der Webseite im Supportbereich des Druckerherstellers erhältlich.

3.3 Drucker in Kleinnetzwerken

Folgende Druckerlösungen sind im SmallOffice– und Privatgebrauch üblich:

  • An den eigenen PC/Workstation angeschlossenen lokalen Drucker mit z.B. USB-Schnittstelle (Früher RS232-Seriellschnittstelle oder Centronics-Parallelschnittstelle) Über eine Druckerfreigabe kann ein solcher Drucker über das Netzwerk anderen PC-Arbeitsplätzen zur Verfügung gestellt werden
  • An einen Druck-Server (Printserver) angeschlossenen USB-Drucker, der dank dem Druck-Server allen Netzwerkteilnehmern zur Verfügung steht
  • Ein netzwerkfähiger Drucker (Der Druck-Server ist quasi direkt im Drucker als Printserver-Modul eingebaut
(Jede dieser drei Lösungen hat seine Vor- und Nachteile wie Kosten, Verfügbarkeit, Stromverbrauch etc.)
Das folgende Bild zeigt einen einfachen Printserver, der üblicherweise im unteren zweistelligen CHF-Betrag erhältlich ist:

3.4 Druckerkonfiguration über Bedienfeld

(Im Konsumerbereich zwecks Reduzierung der Herstellungskosten heute eher unüblich)

3.5 Druckerkonfiguration über Webserver

Druckerkonfiguration über einen im Drucker installierten Webserver: (Dazu benötigt man einen PC mit installiertem Webbrowser und ruft damit die Konfigurations-Webseite auf dem Drucker ab – Übliche IP-Werkseinstellung des Druckers: 192.168.1.1/24 Achtung: Der PC muss sich im selben Netz befinden)

3.6 Drucker-IP-Adresse konfigurieren mit arp

Die Netzwerkeinstellungen von gewissen älteren Druckern ohne Bedienfeld und ohne Webserver lassen sich unter Umständen wie folgt konfigurieren:

  • Richten sie ein PC ein und wählen sie die IP-Adresse des PC’s so, dass seine Netzwerk-ID mit derjenigen der gewünschten Drucker-IP-Adresse übereinstimmt (Das heisst: Beachten sie, dass beide Geräte im selben Netz sind)
  • Notieren sie sich die MAC-Adresse der Druckernetzwerkkarte (Siehe den zwölfstelligen Hex-Code auf der Konfigurationsseite des Druckers oder dem Aufkleber an der Druckerrück- oder unterseite)
  • Im Konsolenfenster ihres PC’s tippen sie folgendes ein:
    arp -s <gewünschte Drucker-IP-adresse> <Drucker-MAC-Adresse>
    Überprüfen sie die Einstellung mit
    arp –a
    Ein allfällig falscher Eintrag kann so gelöscht werden:
    arp -d <IP-Adresse>
  • Setzen sie den Drucker mit einem «Drucker-Reset» zurück
    Reset der Druckernetzwerkkarte bzw. des Druckers gemäss Benutzeranleitung
  • Pingen sie den Drucker an, indem sie auf ihrem PC im Konsolenfenster folgendes eingeben:
    ping <gewünschte Drucker-IP-adresse>
  • Nun sollte ihr Drucker über seine neue IP-Adresse erreichbar sein (Mit ping überprüfen)

3.7 Der dedizierte Druckerserver

Der dedizierte Druckerserver für das Drucken in grösseren Netzwerken: Druckserver als eigenständige Geräte nennt man dedizierte Druckerserver. Darunter versteht man die Serversoftware wie z.B. Windows Serveredition und die Serverhardware. Die Aufgaben des Druckerservers

  • Drucker ohne Netzwerkschnittstelle übers Netzwerk verfügbar machen
  • Zentrale Verwaltung von Netzwerkdruckern
  • Spooling: (aufspulen) bzw. Abkürzung für Simultaneous Peripheral Operations On Line ist ein Vorgang im Betriebssystem, bei welchem zu bearbeitende Druckaufträge in einem Puffer im Speicher oder externen Datenspeicher gelagert werden, bevor sie der eigentlichen Verarbeitung (Datei zum Ausdrucken an den Drucker senden) zugeleitet werden
  • Bilden von Druckerpools: Ist ein Verbund von Druckern in einem Rechnernetz, unter denen Druckaufträge automatisch verteilt werden
  • Verteilen der Druckergerätetreiber an die Clients (PC’s)

3.8 Vorteile von Spooling

  • Zwischenspeicher: Meist ist die Festplatte schneller als das Ausgabegerät – Dadurch kann die Anwendung zügig fortgesetzt werden, indem der Druckjob auf die Festplatte geschrieben wird, ohne auf die Ausgabe warten zu müssen
  • Mehrfachnutzung von Geräten, da ein Spooler zahlreiche Aufträge für ein Drucker zwischenspeichern kann – Dadurch können sich z. B. mehrere Personen bzw. Prozesse einen Drucker teilen, ohne sich gegenseitig zu behindern
  • Bei einem Druckerausfall oder Druckerwartungsarbeiten kann der Druckjob trotzdem abgeschickt werden. Dieser verbleibt im Spooler des Druckerserves, bis der Drucker wieder Online ist

3.9 Vorteile von Druckerpools

  • Geringere Wartezeiten, wenn mehrere Druckaufträge gleichzeitig gesendet werden
  • Bei einem Druckerausfall oder Druckerwartungsarbeiten kann trotzdem gedruckt werden, ohne dass Benutzer einen anderen Drucker auswählen müssen

3.10 Druckerserver-Features

Grundsätzlich bietet ein als Druckserver eingerichtetes Windows-Server-Betriebssystem dieselben Features wie die Druckerfreigabe in einem normalen Windows-Betriebssystem, abgesehen von der künstlichen Einschränkung der maximalen Anzahl von Netzwerkverbindungen bei Nicht-Servern. Die wichtigsten Features:

  • In der Benutzung zeitliche und personelle Einschränkungen
  • Druckprozesse überwachen
  • Ausdruck verzögern
  • Eine Druckpriorität festlegen
  • Erstellen von Formularen
  • Bilden von Drucker-Pools




Praxisaufgabe ∇ AUFGABEN

4. DHCP

Im folgenden wird von einem DHCP-Server gesprochen. Gemeint ist damit die Server-HW, auf der ein DHCP-Dienst läuft.

DHCP bedeutet Dynamic Host Configuration Protocol.

Warum DHCP?

Ein PC benötigt neben seinem Hostname in einem IPv4-Netzwerk folgende Angaben:

  • Eine im Netzwerk einmalige IP-Adresse
  • Subnetzmaske
  • Router (Standard- oder Default-Gateway)
  • DNS-Server
Um den IP-Adress-Verwaltungsaufwand, damit ist u.a. die Inbetriebnahme von Neugeräten und Ressourcenfreigabe von Altgeräten gemeint, in Grenzen zu halten und Netzwerkfehler wegen IP-Adress-Doppelvergabe zu vermeiden, kann eine Art «IP-Adress-Verleihsystem», einen sogenannten DHCP-Server, installiert werden.

  • Statische Variante → Netzwerkeinstellungen lokal am Host: Die Netzwerkparameter werden trotz eines allfällig vorhandenen DHCP-Servers am jeweiligen Gerät unter den Netzwerkeigenschaften eingegeben. Empfohlen ist dies bei Servern, Druckern und Routern, damit sie immer unter derselben IP und unabhängig von einem DHCP-Server erreichbar sind. Einstellung in den Client-Netzwerkeigenschaften: Adressen von Hand eingeben.
  • Statische Variante → Netzwerkparameter via DHCP: Der Client verlangt beim DHCP-Server nach «seiner» exklusiv für ihn reservierten IP-Adresse. Der DHCP-Server erkennt den Client anhand seiner MAC-Adresse und liefert ihm die gewünschte IP-Adresse. Einstellung in den Client-Netzwerkeigenschaften: Adressen automatisch beziehen.
  • Dynamische Variante → Netzwerkparameter via DHCP: Die IP-Adresse und weitere Parameter werden von einem DHCP-Server geliefert. Der DHCP-Server liefert aus seinem IP-Adresspool eine zurzeit freie bzw. nicht benutzte IP-Adresse. Empfohlen bei PC’s und Portables. Einstellung in den Client-Netzwerkeigenschaften: Adressen automatisch beziehen.
Hinweis: Setzt man einen DHCP-Server ein, sollte man «seinen» Usern dringend nahelegen, dass sie die Finger von den lokalen Netzwerkeigenschaften lassen. Die Host’s beziehen die Netzwerkparameter automatisch, d.h. von «meinem» DHCP-Server und es wird nicht von Hand daran herumgebastelt. Ausser der DHCP-Server hat in seinen DHCP-Einstellungen einen IP-Adress-Ausschlussbereich, der von den Usern für Experimente genutzt werden kann.

4.1 DHCP Nachrichten

Der PC/Notebook, bei dem in den Netzwerkeigenschaften "Adressen automatisch beziehen" eingestellt ist, muss zuerst mit einem DHCP-Server kontakt aufnehmen. Der darauf folgende Ablauf besteht dann aus folgenden Nachrichten:

  • DHCP-DISCOVER: Ein Client ohne IP-Adresse sendet eine Broadcast-Anfrage nach Adress-Angeboten an alle DHCP-Server im lokalen Netz
  • DHCP-OFFER: Die DHCP-Server antworten mit entsprechenden Werten auf eine DHCPDISCOVER-Anfrage
  • DHCP-REQUEST: Der Client fordert eine der angebotenen IP-Adressen, weitere Daten sowie Verlängerung der Lease-Zeit von einem der antwortenden DHCP-Server
  • DHCP-ACK: Bestätigung des DHCP-Servers zu einer DHCP-REQUEST-Anforderung oder die Übermittlung von Konfigurationsparametern, die vorher durch DHCP-INFORM vom Client angefordert wurden
  • DHCP-NAK: Ablehnung einer DHCPREQUEST-Anforderung durch den DHCP-Server
  • DHCP-DECLINE: Ablehnung durch den Client, da der Client mit einem ARP-Request herausgefunden hat, dass die IP-Adresse schon verwendet wird
  • DHCP-RELEASE: Der Client gibt die eigene Konfiguration (IP-Adresse) frei, damit die Parameter wieder für andere Clients zur Verfügung stehen
  • DHCP-INFORM: Anfrage eines Clients nach weiteren Konfigurationsparametern, z. B. weil der Client eine statische IP-Adresse besitzt

Der DHCP-Ablauf im Überblick


Der DHCP-Ablauf anhand eines konkreten Zahlenbeispiels

4.2 APIPA / Zero-Conf

Sollte wegen Netzwerkunterbruch oder Server-Down kein DHCP-Server verfügbar sein , kommt beim WIN-Client APIPA (Automatic Private IP Adressing) zum Zug. Auch unter dem Namen Zero-Conf bekannt.
IPv4-APIPA-Bereich: 169.254.x.y; Subnetmask: 255.255.0.0
DHCP ist eine Erweiterung des Bootstrap-Protokolls (BOOTP), das für Arbeitsplatz-Computer ohne eigene Festplatte (Diskless-Workstation) notwendig war, wo sich der Computer beim Startvorgang zunächst vom BOOTP-Server eine IP-Adresse zuweisen liess, um danach das Betriebssystem aus dem Netzwerk zu laden. DHCP ist weitgehend kompatibel zu BOOTP und kann entsprechend mit BOOTP-Clients und -Servern (eingeschränkt) zusammenarbeiten.




Praxisaufgabe ∇ AUFGABEN
∇ LÖSUNGEN

5. DNS

Im folgenden wird von einem DNS-Server gesprochen. Gemeint ist damit die Server-HW, auf der ein DNS-Dienst läuft.
DNS bedeutet Domain Name System. Der DNS-Dienst ist für die Namensauflüsung von einem Domänennamen (FQDN, URL) zu der entsprechenden IP-Adresse (oder umgekehrt) zuständig.

5.1 Die Webanfrage richtig adressieren

Eine Webseite über die IP-Adresse des Webservers aufzurufen, ist wenig konfortabel. Besser wäre es, wenn dies über einen einprägsamen Namen erledigt werden könnte. Unumstösslich jedenfalls ist, dass das Internet-Protokoll ausschliesslich mit der IP-Adresse zurecht kommt. Im folgenden wird gezeigt, wie ein Webseitenaufruf ablaufen kann:

  1. Kommunikation über das Netzwerk (Bild 1):
    • Der IP-Header benötigt zur Adressierung des Webserver-Anfragepakets nicht den Server-Hostname sondern seine IP-Adresse
    • Die IP-Adresse ist aber wenig einprägsam
  2. Die lokale Host-Tabelle (Bild 2):
    • Die Problematik ist, ein praktikables Namenskonzept für weltweit ca. ¼ Milliarden Webserver zu erstellen
    • Weiter gilt es, sämtliche lokalen Host-Dateien aktuell zu halten
  3. Die Lösung für das Namenskonzept (Bild 3):
    • Hierarchisches Namenskonzept: www.Secondlevel-Domain.Toplevel-Domain
    • Aber als Nachteil immer noch die dezentrale bzw. lokale Namensauflösung
  4. Eine zentrale Namensauflösung (Bild 4):
    • Die Namensauflösung erfolgt über zentrale Systeme, sogenannte DNS-Server
    • Bessere Wartbarkeit als bei lokaler Lösung
  5. DNS-Domänennamespace (Bild 5): Die hierarchische Struktur bzw. Organisation des Namenraums

5.2 Die Domäne oder Domain

Eine Domain ist ein zusammenhängender Teilbereich des hierarchischen Domain Name System (DNS). Im Domain-Vergabeverfahren ist es ein im Internet weltweit einmaliger und eindeutiger und unter gewissen Regeln frei wählbarer Name unterhalb einer Top-Level-Domain. Die exakten Regeln für die Namensvergabe legt die Vergabestelle (NIC = Network Information Center) der jeweiligen Top-Level-Domain fest. Eine Domain kann beliebig in durch Punkte getrennte Subdomains unterteilt werden. Mit jedem so gebildeten voll qualifizierten Domain-Namen (FQDN = Fully Qualified Domain Name) kann ein beliebiges physisches oder virtuelles Objekt weltweit eindeutig adressiert werden. Die Verbindung zwischen dem FQDN und dem tatsächlichen Aufenthaltsort des Objektes wird über Einträge in Nameservern hergestellt, die letztlich auf die IP-Adresse eines Servers verweisen.

5.3 Top-Level-Domain

TLD (Top-Level-Domain bezeichnet den letzten Abschnitt (rechts vom Punkt) einer Domain im Internet und stellt die höchste Ebene der Namensauflösung dar. Ist der vollständige Domain-Name eines Rechners beziehungsweise einer Website beispielsweise www.juergarnold.ch, so entspricht das rechte Glied (.ch) der Top-Level-Domain dieses Namens. TLDs werden von der IANA in Gruppen unterteilt:

  • Allgemeine TLDs: generic TLDs (gTLDs), unterteilt in sponsored TLDs (sTLDs) und unsponsored TLDs (uTLDs)
  • Länderspezifische TLDs: country-code TLDs oder ccTLDs

5.4. Subdomain

Als Subdomain bezeichnet man eine Domain, welche in der Hierarchie unterhalb einer anderen liegt.

  • Die Subdomain unterhalb der Top-Level-Domain nennt man Second-Level-Domain.
  • Normalerweise meint man mit Subdomain Domains in der dritten oder einer weiteren Ebene.
  • Zur logischen und physischen Trennung von Diensten innerhalb der Domain einer Organisation werden üblicheweise Sub-Domains verwendet (z.B. Webserver = www.abc.ch / Mailserver = mail.abc.ch). Ein Webserver kann genau so gut auf einem Computer mit dem Domainnamen web.abc.ch oder abc.ch betrieben werden.

5.5. Fully Qualified Domain Name

Der vollständige Name einer Domain wird als FQDN (Fully Qualified Domain Name) bezeichnet und ist eine absolute Adresse:
Hostname . Secondlevel-Domain . Toplevel-Domain . Root-Label (z.B. www.sbb.ch.)
Hostname . Subdomain . Secondlevel-Domain . Toplevel-Domain . Root-Label (z.B. ftp.shop.muster-gmbh.com. oder server01.verwaltung.mustergmbh.local.)
Das Root-Label bleibt allerdings immer leer, so dass der FQDN mit dem Punkt abschliesst. Bei Adresseingaben in Browsern wird daher auf den Punkt verzichtet. Allerdings wäre es dann, genau genommen, keine absolute Adresse mehr, sondern eine relative. Bei der Angabe in Resource Records auf Nameservern muss zwingend der volle Name mit Punkt angegeben werden.

5.6 URL

Eine URL (Uniform Resource Locator) identifiziert und lokalisiert eine Ressource (z.B. Webseite, FTP-Server etc.) über die zu verwendende Zugriffsmethode/Protokoll (z.B. HTTP, FTP) und den Ort in Computernetzwerken.
Schema:// Host: Port/ Pfad? Query#Fragment
https://www.beispiel.ch :443 /index.html ?p1=A&p2=B #htmltextmarke1

5.7 DNS-Zonen

  • Zone = Teil des Domänenbaums, für den ein Nameserver zuständig ist.
  • Eine Zone besteht aus Resource-Records, die in einer Zonendatei gespeichert sind.
    Bsp.: A-Resource Record = IPv4 Adresse eines Hosts.
  • Eine Zone kann eine gesamte Domain umfassen. Normalerweise werden Subdomänen aber durch eigene Zonen repräsentiert.

5.8 Unterschied zwischen Domain und Zone

  • Eine Domain umfasst den gesamten untergeordneten DNS-Namensraum.
  • Eine Domäne kann in mehrere Zonen aufgeteilt werden, indem man die Zuständigkeit für Subdomains delegiert.
  • Von einer Zone spricht man auch, wenn man die physische Realisierung meint.
    (Auf welchem Server und in welcher Zonendatei die DNS-Einträge liegen)

5.9 Resource Record (RR)

Ein Resource Record (RR) ist die grundlegende Informationseinheit im Domain Name System. Er tritt in ASCII-Darstellung in Zonendateien oder in komprimierter Form in DNS-Transport-Paketen oder DNS-Caches auf.

RR-Format in Zonendateien

NAME [TTL] [CLASS] TYPE [RDLENGTH] RDATA
[..] → Optional
CLASS → Meistens IN (Internet)

  • NAME: Domänenname
  • TTL: Gültigkeitsdauer in Sekunden
  • CLASS: Protokollgruppe
  • TYPE: Typ
  • RDLENGTH: Länge von Resource Data (MX-Records → Priorität bei mehreren Mailservern)
  • RDATA: Resource Data (z.B. IP-Adresse, Hostname)

Einige RR-Typen

  • A: IPv4 Adressrecord (Forward Mapping: Name→IP)
  • AAAA: IPv6 Adressrecord (Forward Mapping: Name→IP)
  • PTR: Pointer (Reverse Mapping/Lookup: IP→Name)
  • CNAME: Canonical Name, verbindet Domain mit einer anderen Domain
  • DNAME: Delegation Name, Alias
  • MX: Mail eXchange
  • NS: Name Server (keine IP-Adresse erlaubt → Adress-Record erstellen oder Nameserver eintragen, von dem DNS-Einträge übernommen werden sollen)
    In jedem Zonenfile muss mindestens ein NS-RR vorhanden sein, der angibt, welcher Nameserver für diese Zone autoritativ ist.
  • SOA: Start of (a zone of) Authority → Verbindliche Informationen über DNS-Zone
  • TXT: Text (Kommentar)

Beispiele

test.abc.com             1800   IN   A          222.1.2.3               # Hosteintrag
3.2.1.222.in-addr.arpa.  1800   IN   PTR        test.abc.com.           # Reverse Hosteintrag
www.abc.com              1800   IN   A          222.1.2.4               # Webserver
www.abc.ch               1800   IN   CNAME      www.abc.com             # Alias, Verweis
abc.com                  1800   IN   MX    10   mail1.abc.com.          # Mail1: 1. Priorität und Lastausgleich mit mail2.abc.com
abc.com                  1800   IN   MX    10   mail2.abc.com.          # Mail2: 1. Priorität und Lastausgleich mit mail1.abc.com
abc.com                  1800   IN   MX    50   mail3.abc.com.          # Mail3: 2. Priorität → Backup
                                IN   TXT        "MailTo: user@abc.com"  # Mögliche E-Mailadresse (TXT=Kommentar)
abc.com                  1800   IN   NS         dns1.abc.com            # Primärer/Sekundärer autoritativer Nameserver
abc.com                  1800   IN   NS         dns2.abc.com            # Primärer/Sekundärer autoritativer Nameserver
                                IN   TXT        "Prim.DNS→SOA"          # Primärer Nameserver siehe SOA
abc.com                  1800   IN   NS         dns.xyz.com             # Autoritativer externer Nameserver
zone.abc.com             1800   IN   NS         dns.zone.abc.com        # Zonendelegation → Verweis auf Nameserver in Subdomäne
zone.abc.com             1800   IN   A          222.1.4.5               # Hosteintrag (Glue-Record/Zonendelegation)

Glue Record

Ein Glue-Record ist eine IP-Adresse auf einen Nameserver, welche bei der Domain-Registry zusätzlich hinterlegt wird.
Ein Glue-Record wird benötigt, wenn man einen Nameserver für eine Domain definieren möchte, welcher eine Subdomain unter der Domain selber verwendet. Wenn man z.B. den Nameserver der Domain example.com auf ns1.example.com und ns2.example.com setzen will, benötigt man die Glue-Records (IP-Adressen) für ns1.example.com und ns2.example.com um diese bei der Registrierungsstelle von .com zu hinterlegen.
Wenn als Nameserver Hostnamen aus einer anderen Domain angegeben werden, werden keine Glue-Records benötigt. Wenn man also für die Domain example.com die Nameserver von xyz verwenden (ns.xyz.com, ns2.xyz.com), wird kein Glue-Record für example.com benötigt, da die Nameserver unter einer anderen Domain zu finden sind.

5.10 Die Forward- und Reverse-Lookup-Abfrage

  • Forward-Lookup-Abfrage: Hostname > IP-Adresse (Zu Name Telefon-Nr. suchen)
  • Reverse-Lookup-Abfrage: IP-Adresse > Hostname (Zu Telefon-Nr. Name suchen)
Der Zweck von Forward-DNS ist klar. Aber warum Reverse-DNS?
  • Bei Traceroutes werden nicht nur IP-Adressen, sondern eben auch verständliche Hostnamen angezeigt. Die Fehlerdiagnose fällt wesentlich leichter.
  • Viele Mailserver akzeptieren eingehende Mails nur dann, wenn die IP-Adresse des Senders über einen Reverse-DNS-Eintrag verfügt.
  • In SPF-Tags (Sender Policy Framework → Technik zur Vermeidung von Spam-/Virenmails mit gefälschten Absendern) können Reverse-DNS-Einträge berücksichtigt werden.

5.11 Autoritative, rekursive, iterative Nameserverabfrage

  • Autoritativ bedeutet: Der Server holt die Daten aus einer lokalen Zonendatei.
  • Rekursiv bedeutet: Der Server holt die Daten von einem anderen Nameserver.
  • Iterativ bedeutet: Der Server antwortet mit einem oder mehreren Verweisen oder einem Resource Record auf andere Nameserver.
    Anders als bei der rekursiven Variante, wo die Anfrage an einen anderen Nameserver weitergereicht wird, fragt sich der Nameserver selber durch, beginnend bei einem Root-Nameserver. Derzeit existieren 13 Root-Nameserver (z.B. a.root-servers.net, b.root-servers.net usw.)

5.12 Namensauflösung aus einem Intranet heraus

Für die Namensauflösung von internen Host’s (Servern/Druckern etc.) und externen Hosts (Internet, Webserver, FTP etc.) ist derselbe DNS-Server zuständig. Dieser kann bei DNS-Anfragen für externe Host’s – wie bereits ausführlich beschrieben – rekursiv oder iterativ arbeiten. Pro Gerät/PC lässt sich in den Netzwerkeinstellungen nur ein DNS-Server konfigurieren. (Inklusive einem zweiten, identischen als Redundanz)
Ein DNS-Dienst mit Einträgen von internen Maschinen ist in grösseren Firmen ein Thema, wo z.B. Drucker oder Server über die FQDN wie z.B. server01.farbruck.local. angesprochen werden sollen, um bei allfälligen IP-Adresswechseln dieser Geräte den Administrationsaufwand auf das Aktualisieren der geänderten IP-Adresse im DNS-Server zu beschränken. In privaten und kleinen internen Netzen ist dies meist nicht nötig, so dass der DNS-Dienst, der meist im xDSL-Zugansgerät zu finden ist, nur externe Adressen auflösen muss und somit auf eine einfache Weiterleitung der DNS-Anfrage an z.B. den DNS-Server des Providers eingeschränkt wird.

5.13 Dynamische DNS-Server-Updates

  • DHCP bzw. dynamische IP-Adressierung erfordert, dass die DNS-Einträge regelmässig aktualisiert werden müssen.
  • DHCP-Dienst informiert DNS-Server über dynamisch neu zugewiesene IP-Adresse und entsprechendem Hostname.
    Z.B. 10.0.0.2 = CAU-IT-056-01
    DNS ergänzt/modifiziert selbständig den DNS-A-Host-Eintrag.
    Z.B. 10.0.0.2 = CAU-IT-056-01.tbz.local

5.14 Die lokale Hostdatei

  • UNIX/LINUX: /etc/hosts
  • WIN: c:\Windows\System32\drivers\etc\hosts

5.15 DNS Tools

  • DNS-Konsole in WIN-Server-Verwaltung
  • DNS-Serverprotokoll in WIN-Server-Ereignisanzeige
  • nslookup
    Beispiele:
    nslookup DNS-Server-IP-Adresse
    nslookup DNS-Server-Hostname myServer
    nslookup farbdruck.local
    nslookup farbdruck.ch
    nslookup myServer.farbdruck.local
    nslookup myServer.farbdruck.ch
    dnscmd (WIN-Kommando)
  • ipconfig (WIN-Kommando) / ifconfig (UNIX-Kommando)
    Beispiele:
    ipconfig /displaydns (Zeigt den lokalen DNS-Resolver-Cache an)
    ipconfig /flushdns (Löscht den lokalen DNS-Resolver-Cache)
    ipconfig /registerdns (Erneuert den DHCP-Lease und registriert den DNS Name neu)
Ergänzung zu nslookup:
Wenn sie auf der Konsole nur nslookup «ENTER» eingeben, arbeiten sie im interaktiven Modus von nslookup und werden ohne Parameter mit dem in den Netzwerkeinstellungen eingetragenen DNS-Server verbunden. Sie können dann alle obigen nslookup-Kommandos ohne nslookup eingeben. Mit der Eingabe nslookup -server können sie sich mit ihrem Wunsch-DNS-Server verbinden. Allerdings werden ihnen nicht alle Antwort geben.

5.16 Alternativen zur DNS-Namensauflösung

  • WINS (Windows Internet Name Service): Ähnlich NetBIOS Name Service ist eine Microsoft-Implementation von NetBIOS over TCP/IP für LAN’s und dient wie DNS der zentralen Namensauflösung – Im Gegensatz zu DNS aber ohne Hierarchien. Ausser bei Altlasten empfiehlt sogar Microsoft, DNS dem WINS vorzuziehen
  • NetBEUI ist Bestandteil des Microsoft-Protocol-Stack und auf der Vermittlungsschicht (Ebene 3) des OSI-Schichtenmodells angesiedelt, von wo aus es mit dem NetBIOS (Darstellungsschicht) beziehungsweise mit dem LLC (Sicherungsschicht) kommuniziert – NetBEUI bildet zusammen mit NetBIOS den Microsoft-Protocol-Stack, der in heutigen Netzwerken üblicherweise durch den IP-Protocol-Stack ersetzt wurde
  • UPnP (Universal Plug and Play) dient zur herstellerübergreifenden Ansteuerung von Geräten über ein IP-basiertes Netzwerk, wurde ursprünglich von Microsoft eingeführt und ermöglicht unter anderem, dass sich verschiedene Geräte ohne Interaktion des Benutzers finden
  • PNRP (Peer Name Resolution Protocol) ist ein Netzwerkprotokoll zur Namensauflösung nach dem Peer-to-Peer-Modell und soll die Veröffentlichung von Namen und deren Auflösung in Adressen ohne Server ermöglichen, wie sie im Domain Name System notwendig sind – Das Protokoll wurde von Microsoft entwickelt
  • LLTD (Link Layer Topology Discovery) Verbindungsschicht-Topologieerkennung - ist ein Microsoft-Windows-Netzwerkprotokoll, welches eingesetzt wird, um die Topologie eines Netzwerkes zu erfassen und darzustellen sowie auch zur Analyse der Dienstgüte (QoS)
Fazit: In gewissen Situationen (vor allem bei WIN-PC’s, Stichwort Arbeitsgruppe) werden ihnen fremde Rechner bzw. Hostnamen angezeigt, von denen sie in Ermangelung eines DNS-Serves eigentlich nichts wissen sollten. Dies ist auf die obengenannten alternativen Verfahren zurückzuführen.

5.17 Verbindungsspezifisches DNS-Suffix

(Betrifft WIN-PC’s, die nicht über ActiveDirectory an eine Domäne angeschlossen sind)
Falls ein Datenserver mit dem Hostnamen «abc» auf dem DNS-Server der Domäne «xyz.local» eingetragen ist, wird ihnen die DNS-Anfrage auf ihrem PC «nslookup abc.xyz.local» die IP-Adresse des Servers zurück liefern. Die verkürzte Abfrage «nslookup abc» wird allerdings nicht zum Ziel führen, es sei den, auf ihrem PC ist das verbindungsspezifisches DNS-Suffix gesetzt, dass da lautet: «xyz.local». Somit wird ihre nslookup-Abfrage «nslookup abc» automatisch zu «nslookup abc.xyz.local» ergänzt.
Das verbindungsspezifisches DNS-Suffix kann man in den Eigenschaften der Netzwerkkarte (ncpa.cpl) unter Eigenschaften von Internetprotokoll im Reiter Erweitert, dann DNS eintragen.
(Das primäre DNS-Suffix des Computers findet man in den Systemeigenschaften (sysdm.cpl) unter dem Reiter Ändern, danach Weitere… im Fenster DNS-Suffix und NetBIOS-Computername)

5.18 DNS-Sicherheitsrisiken

  • Dienstverweigerungsangriff (Denial-of-Service). Verfügbarkeit des Netzwerkdienstes unterbinden durch überfluten des DNS-Servers mit rekursiven Anfragen.
  • Umleitung: DNS-Abfragen an von Angreifer gesteuerten Server umleiten, indem man den DNS-Cache eines DNS-Servers mit fehlerhaften DNS-Daten füllt. Ermöglicht durch Schreibzugriff auf DNS-Daten z.B. bei unsicheren dynamischen Updates
  • Gefahr, von einem «gefakten» DHCP-Server eine falsche DNS-Serveradresse geliefert zu bekommen


Praxisaufgabe ∇ AUFGABEN
∇ LÖSUNGEN

6. Verzeichnisdienst

An dieser Stelle erfolgt nur ein kleiner Einblick in den Windows-Verzeichnisdienst «Active Directory» (AD)
Ein wichtiger Vorteil von einem Verzeichnissystem wie AD ist die zentrale Benutzerverwaltung. Das heisst, man kann sich an einem beliebigen, an der AD-Domäne angeschlossenen Client, mit demselben zentral erfassten Benutzernamen und Passwort anmelden und finden, wenn man mit Roaming-Profilen arbeitet, auch immer wieder ihre gewohne Arbeitsumgebung vor. Eine AD-Installationsanleitung finden sie hier: AD-Verzeichnisdienste-WIN-Server2012



Praxisaufgabe ∇ AUFGABEN

7. Testen und Überwachen

Analyse der Leistung von Computern und der Netzwerklast:

  • Server-Manager: Der Server-Manager ist mit dem Dashboard und den nach Serverrollen getrennten Ereignismeldungen, Leistungsdiagrammen, Auflistungen der beteiligten Dienste, Rollen und Features gut zur einfachen Überwachung und Administration geeignet.
  • Ereignisanzeige: Die Ereignisanzeige zeigt diverse Vorgänge des Systems, die in unterschiedlichen Protokollen festgehalten werden:
    • Anwendungsprotokoll
    • Sicherheitsprotokoll
    • Installation
    • Systemprotokoll
    (Befehl: eventvwr.msc)
  • Task-Manager: Der Task-Manager zeigt aktuell laufende Prozesse auf einem System auf und bietet einen Überblick über die Auslastung von Prozessoren und Speicher.
  • Ressourcenmonitor: Der Ressourcenmonitor bietet einen tieferen Einblick in die Aktivität von Netzwerk, Datenträgern, CPU sowie Speicherauslastung als der Task-Manager.
    (Befehl: resmon.exe)
  • Leistungsüberwachung: Mit der Leistungsüberwachung lassen sich detaillierte Informationen über das System erfassen, in Statistiken zusammenstellen, speichern und auswerten.
    (WIN-Suchfeld Eingabe Leistung)
  • Datensammlersatz erzeugen: (Innerhalb der Leistungsüberwachung) Datensammlersätze bzw. Sammlungssätze sind Bausteine für die Leistungsüberwachung und -berichterstellung.
  • Zuverlässigkeits- und Problemverlauf: Bericht über einen Stabilitätsindex. Dieser dient der Bewertung der Systemgesamtstabilität auf einer Skala von 1 bis 10.
    (Befehl: perfmon /rel)



Praxisaufgabe ∇ AUFGABEN

8. Vollständiger Campus

Praxis mit realem Betriebssystemen und allen zuvor behandelten Diensten.

Praxisaufgabe ∇ PRAXISARBEIT