Internet Information Server 2.0

6.2. Подключение к Internet

Известно, что пространство Internet является объединением множества сетей различных организаций, каждая из которых отвечает за поддержание в работоспособном состоянии принадлежащего ей сегмента. В качестве базового стека протоколов во всех сетях используется TCP/IP. За обеспечение соединений между сетями отвечают поставщики услуг Internet, или Internet Service Provider (ISP), как правило, крупные телефонные компании, являющиеся обладателями каналов связи и/или оборудования передачи данных. ISP берут на себя вопросы маршрутизации протокола TCP/IP между сетями организаций и другими ISP, а также вопросы интеграции служб разрешения имен, почтовых и прочих сервисов Internet.

Для подключения к Internet, вашей организации необходимо следующее:

канал доступа, предоставляемый поставщиком услуг Internet и обеспечивающий передачу протокола IP;
оборудование для организации соединения с ISP, как правило, поставляемое им вместе с предоставлением канала;
официально зарегистрированный диапазон адресов для компьютеров и устройств, непосредственно подключенных к Internet, а также имя домена, к которому эти компьютеры и устройства принадлежат;
адреса маршрутизаторов и имена серверов ISP, осуществляющих разрешение имен, передачу электронной почты и т.д.;
один или более компьютеров с установленным и настроенным стеком протоколов TCP/IP и IIS.

Одной из составляющих процесса подключения является получение диапазона легальных адресов IP и имени домена для сегмента вашей сети, подключенной к Internet. Большинство ISP предоставляют услуги по выделению IP-адресов и имен доменов, однако размер адресного пространства, как правило, весьма ограничен, а домены являются подмножеством пространства имен ISP. Получение же собственных IP-адресов и регистрация имени домена требует обращения в Internet Network Information Center напрямую или через того же ISP. К сожалению, в связи с бурным ростом Internet и грядущим исчерпанием адресного пространства, вероятность успеха в последнем случае для небольшой организации более чем сомнительна.

При выборе канала доступа следует предварительно оценить какое количество пользователей будет использовать услуги Internet. В таблице 6.3 приведены приблизительные оценки зависимости допустимого числа активных пользователей для каждого типа канала:

Таблица 3. Ориентировочное число пользователей для различных типов каналов доступа

Тип канала Пропускная способность Число пользователей

PPP/SLIP до 28.800 bps 2-3

Frame Relay до 56.000 bps 10-20

ISDN до 128.000 bps 10-50

T1 до 1.540.000 bps 100-500

T3 до 45.000.000 bps свыше 5000

Хотя использование коммутируемых линий для организации доступа к вашему серверу из Internet возможно, но трудно ожидать от такой конфигурации удовлетворительного времени отклика. Если вы планируете предоставлять услуги пользователям Internet, следует арендовать каналы с большей пропускной способностью.

Поскольку скорость отклика сервера Internet в большей мере зависит от пропускной способности каналов доступа, для поддержания достаточного большого числа пользователей, достаточен не очень мощный сервер. Так, по рекомендациям Microsoft, для обеспечения нормальной работы 100 пользователей достаточно компьютера на базе Intel 486DX50 с 52 Mb оперативной памяти. При оценочных расчетах можно исходить из цифры 256 Кб оперативной памяти на пользователя. На каждом из двух серверов, обслуживающих www.microsoft.com и обрабатывающих более 3 миллионов обращений в день, установлено 4 процессора Pentium 66, 128 Мб оперативной и 8 Гб дисковой памяти.

Ниже приведены две типичные схемы подключения сервера Windows NT с IIS к Internet.

В первом случае используются коммутируемые линии (как аналоговые, так и Dial-Up ISDN) и статическая маршрутизация, так как NT не поддерживает динамических протоколов маршрутизации на коммутируемых линиях. Эта возможность должна появиться в версии 5.0.

Во втором случае используется протокол динамической маршрутизации RIP для IP. В этом случае на сервере должна быть установлена карта ISDN или T1/T3, которую Windows NT может рассматривать как сетевую, а соединение с ISP должно быть постоянным.

Рис. 85. Схема подключения к Internet по коммутируемым линиям

Рис. 86. Схема подключения к Internet при наличии постоянного соединения

6.3. Выбор стратегии защиты

Подключение организации к Internet - это всегда большой риск. Несанкционированный доступ к данным и их умышленная или случайная модификация могут привести к большим финансовым потерям как для организации, так и для администраторов, допустивших просчет в выборе средств отсечения злоумышленников. В связи с этим следует отметить, что защита информации может быть реализована на нескольких уровнях, конечный выбор которых зависит от степени допустимого риска и финансовых возможностей конкретной фирмы.

Применительно к IIS методы защиты могут быть следующие:

встроенные средства защиты Windows NT;
собственные средства IIS;
использование различных схем подключения, уменьшающих возможность взлома;
использование специализированных устройств, таких как пакетные фильтры, proxy сервера и брандмауэры.

Наибольший эффект, естественно, даёт сочетание означенных методов.

Internet-сервер позволяет контролировать права клиента на получение информации, используя базу учетных записей пользователей Windows NT и списки контроля доступа (Access Control List) файловой системы NTFS.

Средства Windows NT

Рекомендуется:

Применение файловой системы NTFS на всех серверах организации. Поддержка списков доступа (Access Control List) позволяет гибко настраивать полномочия каждого пользователя на тот или иной объект, будь то директория или файл. Особенное внимание нужно уделять правам пользователя, в контексте которого исполняется IIS.
Запрет просмотра директорий пользователям, не выполняющим на сервере административных функций.
Запрет сервисов файлов и печати на сетевых адаптерах, обращенных в Internet.
Аудит операций регистрации и доступа к ресурсам сервера и регулярный контроль системного журнала событий.
Запрет пустых паролей и включение режима блокировки учетной записи пользователя после нескольких попыток ввести неправильный пароль.
Смена имени administrator на другое, с малой вероятностью угадываемое имя.
Физическая изоляция консоли сервера или установка псевдо адаптера Headless NT Server, так как все пользователи, кроме использующих анонимный доступ, должны иметь на сервере, где исполняется IIS право Log On Locally.

Собственные средства IIS

IIS поддерживает следующие средства защиты информации:

Адресные фильтры. Позволяют ограничивать доступ к сервисам IIS на основе IP адресов или имен клиентов и групп машин. Защита срабатывает в момент установления соединения клиента с сервером.
Проверки полномочий клиента на получение информации. Происходит в момент запроса клиентом данных с сервера. Поддерживается для сервисов FTP и WWW. Оба сервиса поддерживают режим анонимного доступа и проверки полномочий на основании имени и пароля пользователя (так называемая базовая схема). Сервис WWW дополнительно поддерживает технологию Secure RPC. Каждый из этих режимов может быть разрешен или запрещен независимо от другого.
Использование для каждой директории, доступной сервису WWW файла default.htm, ибо при его отсутствии пользователь по умолчанию получает список содержимого директории.
Шифрование трафика между клиентом и сервером по стандарту SSL.
Дополнительные схемы проверки полномочий могут быть реализованы посредством ISAPI фильтров.

Всегда следует помнить, что случае использования анонимного режима доступа полномочия клиента определяются правами пользователя, под которым функционируют сервисы IIS. Поэтому набор полномочий этого пользователя в домене NT должен быть минимальным.

При использовании FTP сервиса следует иметь ввиду, что пароли и имена пользователей передаются по сети нешифрованными, поэтому любой пользователь, имеющий средства сетевого мониторинга может их получить. Поэтому наиболее защищенным в этом случае является режим считается анонимного доступа, когда пользователь регистрируется под именем anonymous и указывает вместо пароля почтовый адрес. Рекомендованная схема применения сервера FTP - разрешение только анонимного доступа.

Использование базового метода проверки полномочий также несет в себе скрытую угрозу, так как имя и пароль, передаваемые через сеть кодируются с использованием примитивного алгоритма base64 и могут быть легко перехвачены и дешифрованы. Однако это единственный метод проверки, поддерживаемый браузерами не-Microsoft.

Метод Challenge/Response является наиболее защищенным, однако он требует применения Microsoft Internet Explorer версии 2.0 и выше.

При использовании базового метода или метода NT Challenge/Response IIS проверяет имя и пароль через базу учетных записей пользователей и порождает процесс, исполняющийся в контексте данного пользователя. Все права на ресурсы в таком случае определяются набором полномочий этого пользователя.

Алгоритм проверки полномочий пользователя сервером приведен на рисунке 87.

Рис. 87. Алгоритм проверки полномочий пользователя сервером IIS

Применение алгоритма шифрования Secure Socket Layer позволяет защитить весь трафик между клиентом и сервером, что позволяет использовать в Internet передачу конфиденциальной информации и выполнять торговые операции. Алгоритм построен на принципе публичных ключей и позволяет использовать ключ длиной до 1024 бит. Выполнение операций кодирования-декодирования значительно увеличивает нагрузку на процессор сервера. Поэтому следует разумно ограничивать количество ресурсов, требующих использования SSL.

К сожалению, чтобы воспользоваться возможностью шифрования необходимо предварительно получить соответствующий сертификат.

Схемы подключения

Ниже приведены схемы в порядке увеличения степени защищенности.

Рис. 89. Запрет маршрутизации TCP/IP между картами сервера

Позволяет изолировать внутреннюю сеть от Internet. В этом и достоинство и недостаток данной схемы. В случае взлома пароля администратора маршрутизация достаточно легко восстанавливается.

(a)

(б)

Рис. 90 (а) Изоляция на уровне протокола
(б) Изоляция на уровне протокола с репликацией данных

Обеспечивает очень высокий уровень защиты внутренних сетей, за счет применения протоколов, имеющих значительно больший уровень защищенности, нежели IP.

Рис. 91. Полная изоляция внутренних сетей от Internet

Достоинством и недостатком такой схемы является полное отсутствие взаимодействия между Internet и Intranet. Пользователи, активно работающие с Internet осуществляют доступ со специально оборудованных рабочих мест - киосков Internet. Угроза доступа к закрытой информации полностью исключена.

6.4. Что нового в IIS 3.0

Основные нововведения в Internet Information Server 3.0 касаются в основном расширения возможностей выполнения логики Internet приложений непосредственно на сервере, использования объектов в страницах HTML и преодоление таких недостатков протокола HTTP, как отсутствие постоянного соединения сервера с клиентом.

Активные серверные страницы (Active Server Pages)

Активные серверные страницы, или ASP файлы, позволяют использовать для создания WWW страниц как код HTML, так и сценарии на различных языках программирования. В IIS 3.0 стандартно поддерживаются два языка сценариев - VBScript и Jscript, однако без особых проблем может быть подключен любой другой интерпретатор. По желанию автора сценарии в ASP файлах могут исполняться на сервере, а результирующий выходной поток HTML передаваться клиенту в виде динамически сформированной WWW страницы. В процессе исполнения сценарии могут обращаться к любым зарегистрированным объектам отвечающим спецификации COM или DCOM. Отсутствие этапа компиляции при использовании сценариев позволяет упростить процесс отладки приложений, так как для получения результата в окне браузера после внесения изменений в код программы требуется всего лишь пересчитать текущую страницу.

Использование встроенных сценариев и возможности манипуляции объектами позволяют при помощи ASP достаточно изящно реализовать так называемое динамическое содержание (dynamic content), подразумевающее возможность распознавания клиента, создания и ведения для него индивидуального окружения, построенного на основании предпочтений и/или привилегий пользователя.

ActiveX Scripting for IIS 3.0 (объектные сценарии сервера)

Выгоды, получаемые от централизованного исполнения сценариев неоспоримы, начиная со снижения нагрузки с линий передачи данных до защиты прав на интеллектуальную собственность. В IIS 3.0 появился компонент, предоставляющий унифицированный метод подключения интерпретаторов языков сценариев - ActiveX scripting engine (script-машина). В стандартный набор IIS входят два интерпретатора - VBScript и Jscript, ожидается что в ближайшем будущем будет реализована поддержка REXX, Perl и Tcl. Поскольку языковый контекст script-машины может переключаться динамически, в теле одного файла могут одновременно использоваться сценарии на нескольких языках. Стандартная поддержка COM позволяет из любого языка сценариев инициировать OLE объекты и манипулировать ими на усмотрение разработчика. Кроме того, реализация самой script-машины в виде сервера OLE позволяет инициировать выполнение новых сценариев как из текущего сценария, так и из ActiveX компонентов.

ActiveX Server Components (ActiveX объекты сервера)

ActiveX Server Components представляют из себя OLE Automation серверы. С их помощью приложение может получать доступ к источникам информации находящимся как на локальном сервере, так и в произвольном месте сети. Наличие широкого выбора готовых компонентов и большого количества средств их разработки, позволяет создавать Web приложения произвольной функциональности.

В состав IIS 3.0 входит следующий набор готовых объектов:

внутренние объекты (Intrinsic Objects), набор вспомогательных объектов, необходимых разработчику для получения в программе информации о среде её исполнения и клиенте с которым она общается:
объекты запроса и ответа, request and response, объект запроса содержит информацию о параметрах HTTP запроса, вызвавшего исполнение данного сценария; объект ответа служит для построения ответа сервера в формате протокола HTTP, сценарий может полностью управлять всеми параметрами выходного потока HTTP;
приложение и сессия, application and session , позволяют эмулировать поддержку состояния (state) для протокола HTTP (который его не поддерживает), то есть поддерживать сеанс с клиентом, а значит сохранять переменные и статусы, во время переключения Web страниц. Информация о сеансе освобождается после его явного обрыва или истечения срока ожидания клиентской активности. Объект application позволяет инициализировать переменные и статусы, доступные для всех пользователей данного приложения, на объектах такого типа поддерживаются блокировки для обеспечения разделяемого доступа;
серверы, Servers, объекты, позволяющие создать новый экземпляр серверного компонента ActiveX;
базовые компоненты, Base Components, включающие:
ActiveX Data Objects (ADO), компоненты для работы с базами данных, поддерживающими доступ через ODBC или OLE DB, это позволяет в отличие от IDC использовать одну страницу для манипуляции данными и динамически обновлять эту страницу без дополнительных усилий со стороны пользователя;
Content Linking Component, компонент связывания контекста позволяет создавать подшивки из Web страницы на сервере с возможностью автоматической генерации оглавления и навигационных связей;
Filesystem Component, компонент файловой системы, позволяет выполнять чтение текстовых файлов из языков сценариев;
Browser Capabilities Component, компонент возможностей браузера, позволяет выяснить тип и возможности клиента по воспроизведению того или иного формата HTML и языка сценариев, позволяет иметь одну страницу для всех типов клиентов;
Advertisement Rotator Component, компонент вращающейся рекламы, позволяет отображать на экране несколько одновременно несколько динамических объектов, состоящих каждый из списка образов, сменяющих друг друга на подобие перекидного расписания рейсов. Каждому объекту может быть назначен относительный приоритет.

IIS 3.0 содержит массу примеров создания приложений на основе технологии ASP и достаточно подробные руководства для создателей страниц HTML и программистов на VBScript, Jscript и ADO.

Назад | Содержание