| Оглавление |
|---|
|
|
|---|---|
|
|
|---|---|
|
|
|---|---|
|
|
|
|
|---|---|
|
|
|
|
Сетевой доступ к Windows XP Pro
Введение
Наиболее популярная ныне операционная система Windows XP в силу ряда мер, предпринятых для повышения сетевой безопасности пользователей, стала намного сложнее в настройке сетевых параметров. Эти сложности порождают ряд вопросов по организации сетевого доступа к компьютерам с установленной Windows XP а также по проблемам в сети, возникающим вследствие подключения к ней таких компьютеров. Эти вопросы можно увидеть на многих форумах но не всегда на них даются точные и полные ответы, а зачастую их решение ищется методом проб и ошибок. В этой статье мы попробуем разобраться с некоторыми из этих проблем и описать способы их решения для малых домашних сетей. Часть из предложенных решений может быть подходящей и для больших корпоративных сетей, но там, по идее, должен присутствовать достаточно грамотный технический персонал. Поэтому аудитория для этой статьи подразумевается на уровне домашнего пользователя, которому не приходится ежедневно решать сложные логические и технические проблемы. Далее я расскажу как настроить XP-компьютер для предоставления общего доступа к его дискам и папкам, дать доступ тем кому он нужен и запретить его для «нежелательных персон».
Исходные условия
Система Windows XP поставляется на продажу в двух вариантах – Home и Professional Edition. С точки зрения сетевых параметров между ними имеется два важных различия.
- В Home Edition отсутствует возможность тонкой настройки сетевого доступа вследствие того что подразумевается использование этой ОС исключительно в домашних сетях. Поэтому ряд требований безопасности для таких сетей несколько снижен. В ней существует только один, простой способ предоставления ресурсов компьютера в общее пользование (Simple File Sharing). Дальше по тексту для сокращения я буду иногда применять слово «расшарить» (от слова “Share”) для понятия «предоставления ресурсов компьютера в общее пользование» (так короче). Простой общий доступ в Home Edition включен по умолчанию, не требует особых настроек и, как правило, работает без вмешательства пользователя.
- Home Edition не может работать в домене, который, по большому счету, для домашних сетей является излишней роскошью (без применения специальных
трюков ).
Из-за этих двух особенностей сетевой доступ к системам с Windows XP Home Edition не является особо проблематичным и здесь не рассматривается. В общем случае, можно воспользоваться частью описанных ниже рекомендаций.
Не рассматривается также и работа Windows XP с файловой системой NTFS, которая в силу дополнительных возможностей по ограничению локального и сетевого доступа имеет свои тонкости настройки. Кроме того, NTFS не очень популярна у домашних пользователей и я оставлю решение ее проблем ее любителям, которые по определению умеют ее настраивать.
Еще одно исходное условие – техническая исправность всех составляющих сети, включая сетевые карточки, кабели и хабы (свитчи). Если что-либо неисправно, то нет смысла говорить о чем-либо дальше.
У вас есть права Администратора на XP-компьютер и при необходимости изменения настроек вы заходите именно под этой учетной записью.
Итак, здесь я рассматриваю компьютер с установленной начисто ОС Windows XP Pro + Service Pack 2 без текущих обновлений на диске с файловой системой FAT32. Чистая установка прежде всего подразумевает что вы еще не установили никаких программ, влияющих на работу сети; прежде всего, программных файрволлов и всяческого рода «оптимизаторов» а также не вносили системных изменений вручную. Если у вас уже установлен файрвол, то отключитесь от Интернета, полностью отключите файрвол, произведите необходимые настройки и проверьте работу локальной сети. После этого включите файрвол. Если что-то в локальной сети теперь не работает, то вы будете знать, что источник проблем – файрвол.
Краткий экскурс
Сетевой доступ к системе Windows XP основан на аналогичных системах Windows NT и Windows 2000, поэтому пользователи систем Windows 95, 98, и Me будут озадачены новыми особенностями. Эти особенности выражены во введении некоторых ограничений для повышения уровня безопасности. В частности, в свежеустановленной системе сетевой доступ к XP-компьютеру запрещен и его надо настраивать. В Windows 95/98/Me вы можете ограничить доступ к общему диску или папке на парольном уровне и только тот, кто его знает, сможет получить доступ к общему ресурсу. Если же вы установили Windows XP Pro дома, то вам придется изучить некоторые тонкости настройки сети с участием XP-компьютера.
Windows XP Pro предлагает на замену парольной системе доступа две альтернативы:
- Простой общий доступ Simple File Sharing, который разрешен по умолчанию для участников рабочих групп (обычная структура для небольших сетей). При использовании этого метода нет никаких ограничений в доступе различным пользователям и каждый расшаренный ресурс доступен любому участнику этой сети. Напомню, что Простой общий доступ это единственный метод расшаривания ресурса в Windows XP Home Edition.
- После запрета использования Простого общего доступа вы сможете использовать Cписок управления доступом Access Control List, ACL для каждого общего диска или папки и при этом получите возможность Настроить Список управления доступом** для каждого пользователя. Для иллюстрирования этих возможностей мы с вами проделаем следующее:
- Создадим Учетные записи для участников сети Papa, Mama, Vasya и Masha; имена компьютерам, группам и папкам я дам английскими буквами, во избежание проблем с кириллицей.
- Создадим общие папки с названиями ForGentelman, ForLadies, ForVzroslye, ForDeti и ForSemya которые будут иметь различные уровни доступа для разных пользователей. Папка ForGentelmans будет доступна для Papa и Vasya, папка ForLadies будет доступна для Mama и Masha. Папка ForVzroslye доступна для Papa и Mama, папка ForDeti – для Vasya и Masha, а папка ForSemya будет доступна всем участникам вашей домашней сети.
- Дадим разным пользователям доступ к расшаренным ресурсам XP-компьютера.
Но сначала мы займемся более простой операцией и обеспечим возможность сетевого доступа Гостям.
Разрешение сетевого доступа Гостям
Здесь надо отметить, что в SP2 было введено принципиальное изменение – по умолчанию сетевой доступ в систему отключен. Это изменение было вызвано несколькими эпидемиями вирусов, которые в условиях ничем не ограниченного перемещения по компьютерам в локальных сетях нанесли существенный ущерб. Поэтому разрешение сетевого доступа Гостям считается очень небезопасным мероприятием, можно даже сказать, что безопасность при этом просто нулевая. Тем не менее, это снимает также множество проблем, которые возникают при более строго ограниченном доступе.
Еще одно важное замечание – о серьезной путанице в определении понятия «Гость». Дело в том, что Гости бывают разные. Если ваш гость пришел к вам в гости и присел за ваш компьютер поиграть, то он называется локальным гостем. Разумеется, что не стоит давать играть за своим компьтером разным людям под вашей учетной записью, она скорее всего имеет неограниченные или широкие права. А каждому такому гостю заводить учетную запись для определения его прав не с руки. Поэтому целесообразно предоставить им возможность локального входа с правами учетной записи Гость. По умолчанию эта учетная запись отключена и надо ее включить, пройдя в Пуск – (Настройки) – Панель управления – Учетные записи пользователей. Здесь кликнуть на учетной записи Гость и включить ее. Заметьте, что эта операция включения учетной записи Гость разрешает только локальный доступ и не оказывает никакого влияния на доступ сетевых гостей. Сетевые гости, т.е. пользователи соседних по локальной сети компьютеров, по-прежнему не получат доступа.
Чтобы разрешить доступ сетевым гостям (его иногда называют анонимным входом), надо проделать следующее:
Создать общий ресурс. Для этого на папке, которая станет общей, правой кнопкой вызываем меню и выбираем пункт Общий доступ и безопасность. На вкладке Доступ читаем предупреждение («Если вы понимаете потенциальную опасность ...»), кликаем по нему, переставляем точку в поле «Просто включить общий доступ к файлам» и нажимаем ОК. После этого в окне свойств папки появится новый раздел – «Сетевой общий доступ и безопасность». В нем надо поставить птичку в поле Открыть общий доступ к этой папке. В поле «Имя общего ресурса» вводим имя под которым эта папка будет видна в сети или (лучше) оставляем его как есть, чтобы не путаться. Нажимаем «Применить» и затем нажимаем на линк «Просмотр параметров брандмауэра Windows» для перехода к его настройке. Далее настроить Брандмауэр Windows, включенный по умолчанию. В окне настройки Брандмауэра переходим на вкладку «Исключения» и ставим птичку в поле Общий доступ к файлам и принтерам, нажимаем ОК.
Теперь заходим с другого компьютера на только что настроеннный XP-компьютер и проверяем доступность общей папки. Если папка и ее содержимое доступны для просмотра сетевым гостем, то можно считать задачу выполненной. Также можно считать выполненной проверку работоспособности сети и отсутствие неисправностей. Можете рассылать приглашения желающим попользоваться вашим общим ресурсом. Еще раз подчеркну, что при таком свободном разрешении сетевого доступа уровень безопасности вашего XP-компьютера очень низок. Поэтому рекомендуется его поднять и настроить доступ более точно с раздачей различных прав доступа отдельным пользователям. Для этого для каждого пользователя в сети необходимо завести его специфическую учетную запись.
Работа с учетными записями
В нашем случае после установки ОС начисто на компьютере имеются 2 пользователя:
- Пользователь, имя которого было указано первым в процессе установки. Предположим, что вы выбрали имя Papa. При этом создается пользователь с именем Papa с правами администратора и на этом компьютере включен Простой общий доступ.
- Пользователь Администратор, естественно, с правами администратора и, самое главное – скрытый. Этого тайного пользователя можно увидеть следующим образом : Правый клик на «Мой компьютер» – Управление – Локальные пользователи и группы – Пользователи. Вы не увидите его в меню выбора при смене пользователей до тех пор, пока не включите опцию «Показать Администратора». Делать это не обязательно потому, что пользователь Papa имеет все нужные права. Но если очень хочется видеть на экране Приветствия еще и Администратора, то можно включить ее через реестр : в разделе реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\ Winlogon\SpecialAccounts\UserList установите параметр “Administrator”=1 (типа dword).
Если вы хотите поработать именно под системной учетной записью «Администратор», то нажмите Пуск – Выход из системы, находясь в экране «Приветствие» нажмите дважды комбинацию Ctrl+Alt+Del. В появившемся окне введите имя «Администратор» и его пароль.
Как запретить «Простой общий доступ»
Запретить «Простой общий доступ» нужно для того, чтобы получить намного более широкие и гибкие возможности по управлению доступом к вашему XP-компьютеру через создание и применение Списка управления доступом для расшаренных дисков и файлов.
Для этого надо проделать следующую операцию :
Вот и все! Доступа по сети к вашему компьютеру нет ни у кого, кроме тех самых двух администраторов. А теперь начнем этот доступ пользователям раздавать. И начнем мы с простой операции -
Создание учетной записи пользователя
Эту операцию иногда называют «завести пользователя». Кроме уже имеющихся, нам понадобится завести на своем компьютере новых, тех, кому мы будем давать доступ к своим ресурсам. Именно на основании данных этих учетных записей ваш компьютер будет идентифицировать пользователей и решать кого и куда пускать. Не правда ли, странно... Для того чтобы пустить к себе сетевого пользователя, его надо «прописать» на своей жилплощади :)
Есть несколько способов создать новую учетную запись, мы выберем самый простой. Нажмите Пуск – Настройка – Панель управления – Учетные записи пользователей. Start | Settings | Control Panel | User Accounts
Вы увидите все уже имеющиеся на этом компьютере записи (кроме скрытого Администратора двух встроенных отключенных пользователей). Вы увидите также отключенную запись Гость Guest.
Нажмите Создание учетной записи Create a new account и введите Имя нового пользователя. Здесь мы создадим новую учетную запись для пользователя Mama :
Нажмите Далее и выберите тип учетной записи. Это определяет какой тип пользователя будет заведен – Администратор компьютера или Ограниченная учетная запись. Вообще, нет особых причин предоставлять сетевым пользователям привилегии Администратора, поэтому выберите Ограниченная запись. Это даже убедительно рекомендуется для повышения безопасности. Теперь новая учетная запись появится в списке пользователей. Заодно таким же образом добавим всех пользователей, которым вы намереваетесь предоставить доступ к своим ресурсам, т.е. пользователей Vasya и Masha. В результате этих манипуляций мы получим следующий список пользователей
Если теперь вы посмотрите на экран Приветствия, то увидите что он загроможден учетными записями. Те кому это очень мешает, могут спрятать «ненужные» учетные записи или вообще сам экран Приветствия, воспользовавшись советом от Компьютерры.
Чтобы скрыть отдельных пользователей в окне приветствия, запустите редактор реестра и перейдите в раздел HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\ Winlogon\SpecialAccounts\UserList. Теперь создайте новый параметр DWORD, назовите его так же, как имя пользователя, и укажите в качестве значения ноль. Например, если нужно скрыть пользователя Petr, создайте параметр Petr со значением 0. После этого имя Petr не будет появляться в окне приветствия Windows.
Новые учетные записи по умолчанию создаются с правами пользователя без пароля и далее мы рассмотрим проблемный вопрос о паролях.
С паролем или без ?
Беспарольная учетная запись означает, что любой пользователь может усесться за ваш компьютер, включить его и войти в систему (получить локальный доступ) без ввода пароля. Совсем другое дело – сетевой доступ. По умолчанию Windows XP не допускает к себе сетевых пользователей и вход в систему без пароля. А мы как раз и собирались заняться именно сетевым доступом и для этого следует определиться с дальнейшей политикой.
У вас есть два варианта политики :
- Вход с паролем обеспечивает высокий уровень безопасности. Если вы хотите повысить уровень безопасности (рекомендуется), задайте пользователям пароль. Помните, что это потребует от пользователей, желающих зайти по сети на ваш компьютер, сначала входить на свой с тем же паролем. Если эти компьютеры однопользовательские, то вы можете установить автоматический вход (автологин) в систему с использованием программы TweakUI в 98-х системах или ее аналога из комплекта PowerToys for Windows XP для XP. В XP можно также автоматизировать вход в систему через реестр
- Многие пользователи с Windows 95/98/Me предпочитают устанавливать на своих компьютерах вход в сеть способом Вход в Windows и без пароля, это позволяет им просто и гладко входить в свою систему без ответа на запрос пароля, но при этом к вашим расшаренным ресурсам они доступа не получат. Если вы не хотите напрягать их «лишней» операцией при загрузке их системы, то вам следует изменить политику безопасности на вашем Windows XP компьютере так, чтобы разрешить вход к вам по сети пользователям без пароля (не рекомендуется)
Подробнее об обоих вариантах:
Добавление пароля к учетной записи
В том же окне Панель управления – Учетные записи пользователей, выберите нужную запись и нажмите Создание пароля. Введите пароль и подтвердите его. Введите подсказку о пароле, она поможет забывчивым пользователям его вспомнить. Только не вводите в строку подсказки сам пароль. Затем нажмите кнопку Создать пароль чтобы ввести его в действие. Кстати, не делайте паролей длиной больше 12 знаков и кириллическими символами, чтобы не было проблем со старыми Windows. Разумеется, внимательно отнеситесь к предупреждениям, имеющимся на экране. А если вы забывчивы, непременно создайте дискету для сброса пароля.
Теперь в учетных записях она будет показана защищенной паролем.
А себе (Papa) вы еще не задали пароль? Немедленно это сделайте! На всякий случай.
С этого момента пользователь желающий зайти к вам, должен входить к себе с этим же паролем. То есть, при входе на свой компьютер он получает «удостоверение», состоящее из его имени и пароля, а дальше – в сеть с этим же удостоверением.
Разрешение сетевого входа без пароля
Чтобы все-таки разрешить пользователям входить на свои компьютеры без пароля и потом заходить по сети на ваш компьютер тоже без пароля вы должны изменить вашу политику безопасности и разрешить вход к вам без пароля :
Зайдите в Панель управления – Администрирование – Локальная политика безопасности – Локальные политики – Параметры безопасности. Теперь сделайте двойной щелчок мышью на параметре «Учётные записи: ограничить использование пустых паролей только для консольного входа» и отключите эту опцию.
Control Panel | Administrative Tools | Local Security Policy | Local Policies | Security Options | Accounts: Limit local account use of blank passwords to console login only, Accounts: Limit local account use of blank passwords to console login only
Этим самым вы разрешаете локальный и сетевой вход на ваш компьютер без пароля. Другие пользователи смогут при загрузке заходить без пароля прямо на свой Рабочий стол и когда им понадобится зайти на ваш компьютер, они смогут зайти под связанной с их именем учетной записью на XP без пароля.
Заметьте, что иногда используемый термин «пустой пароль» не совсем технически правилен. Есть разница между паролем, содержащим один или более пустых знаков (типа пробел) и отсутствием пароля вообще. Проделанная установка разрешает доступ без пароля вообще. Внимание! Разрешение доступа без пароля открывает доступ с пустыми паролями и к так называемым «административным» разделяемым ресурсам, что совсем не безопасно.
Можно просмотреть учетные записи по-другому : Панель управления – Администрирование – Управление компьютером – Локальные пользователи и группы – Пользователи. Здесь находятся все ваши учетные записи! Вы можете отсюда изменить настройку для каждого пользователя и даже создать новую запись нажав Действие – Новый пользователь.
Во второй части статьи Сетевой Доступ К Windows XP Pro 1 рассматриваются следующие вопросы :