Ж у р н а л   о   к о м п ь ю т е р н ы х   с е т я х   и   т е л е к о м м у н и к а ц и о н н ы х   т е х н о л о г и я х
СЕТИ И СИСТЕМЫ СВЯЗИ on-line
  ПОИСК: ПОДПИСКА НА НОВОСТИ: НОМЕР:
    ДОМОЙ • Архив: Новостей | Конференций | НомеровПодписка
 
   
 
   
    
РЕДАКЦИЯ
 
Все о журнале
Подписка
Как проехать
Где купить
Тематический план
Отдел рекламы
Адреса в Интернет

РУБРИКАТОР
   
• Инфраструктура
• Информационные
   системы

• Сети связи
• Защита данных
• Кабельные системы
• Бизнес
• Колонка редактора
• Электронная
   коммерция

• Только на сервере
• Системы
   учрежденческой
   связи

• Новые продукты


Rambler's Top100

  

Сервисные пакеты Windows NT 4.0: береженого Бог бережет

Джонатан Фельдман

При системном администрировании, как в хорошем спектакле, все должно происходить в свое время. Раньше с легкостью решали, когда следует устанавливать сервисный пакет или делать “горячее” исправление операционной системы: если у вас начинались проблемы с сервером, значит, пора вносить изменения в его программу. В противном случае вообще лучше ничего не делать, пока время и опыт не покажут, что данный сервисный пакет исцелит вашу систему, а не навредит ей.

Cегодня ввиду повсеместного распространения сетевых технологий, с одной стороны, и из соображений безопасности — с другой, необходимо быть в курсе последних “горячих” исправлений и дополнений ОС в каждом конкретном случае, что становится чрезвычайно сложной задачей. Всегда ли надо спешить с установкой самого свежего обновления, возможно содержащего новые ошибки, или лучше подождать, когда какой-нибудь отчаянный храбрец не решит попытать счастья?

Стратегия обновления Windows NT 4.0 или любой другой ОС включает следующие этапы: лабораторное тестирование, тактическое развертывание и согласованное планирование. Недавно в нашей лаборатории мы протестировали очередной (пятый) сервисный пакет (Service Pack — SP) для Windows NT 4.0, обновив с его помощью NT-серверы с установленным ПО третьих фирм, таким, как антивирусные пакеты и NDS для Windows NT фирмы Novell. Мы также протестировали несколько утилит восстановления, включая инструментарий фирм Winternals Software и Stac Software, позволяющий “починить” испорченный раздел NTFS.

Корпорация Microsoft преподносит пакет SP5 как доказательство своего намерения выпускать “свободные от излишеств” сервисные пакеты на регулярной основе. Они предназначены только для исправления ошибок и не обеспечивают расширение набора функций. Вместе с тем Microsoft продолжит поддержку пакета SP4 вплоть до 2000 г., выпуская “горячие” исправления, призванные устранять проблемы безопасности, а также пресловутую “проблему 2000 года”.

Все появившиеся на свет после выхода SP4 “горячие” исправления Microsoft включила в один удобный пакет SP5, который, я уверен, поможет лучше искать и устранять ошибки, чем две дюжины отдельных программ-исправлений. Но означает ли выражение “свободный от излишеств” отсутствие в этом ПО новых дефектов? И хотя до сих пор оно работало неплохо, дефекты все еще можно обнаружить, свидетельство тому — “дыра” в программе WINHLP32, “горячее” исправление для которой появилось две недели спустя после официального выпуска SP5.

Я считаю это хорошим доводом в пользу того, чтобы оставить в покое ваши серверы Windows NT. Если на вашей системе работает только ПО Microsoft, то одно или два “горячих” исправления не принесут ей большого вреда. Но если вы используете ПО третьих фирм, то внесение обновлений может привести к серьезным проблемам.

Естественно, вам нужно последовать совету Microsoft и отключить системные службы сторонних поставщиков, а также убедиться в том, что перед началом авантюры с обновлением ОС у вас были установлены свежие версии драйверов устройств.

Однако, оценив все “за” и “против”, можно с уверенностью сказать, что существует гораздо больше веских причин устанавливать, чем не устанавливать обновления. В частности, преданные широкой огласке дефекты защиты определенно говорят в пользу установки “заплат” (загляните в http://www.ntbugtraq.com — вероятно, лучший в Интернет источник сведений о “дырах” в Windows NT).

Ваша корпоративная сеть должна иметь и межсетевой экран, и систему обнаружения вторжений, но даже если их нет, устранение установленных дефектов защиты Windows NT является приоритетной задачей.

Достижение цели

В сложной и разнородной сетевой среде, чтобы правильно выбрать момент для обновления ОС, нужно уделять пристальное внимание поддержке ПО третьих фирм. На этот счет в телеконференциях и списках рассылки электронной почты может содержаться полезная информация, но помните: вы не должны безоглядно доверять всему, что прочтете. К примеру, сразу после появления пакета SP4 я видел сообщения, в которых утверждалось, будто он выводит из строя службу NDS для Windows NT фирмы Novell. Тестирование, проведенное в нашей лаборатории, показало, что это не так. Мало того, незадолго до этого Novell выпустила документ, подтверждающий, что NDS для Windows NT прекрасно работает с SP4. (К счастью, она прекрасно уживается и с SP5.)

Сразу же после выхода очередного “горячего” исправления мы предлагаем вам проводить его тестирование в течение трех месяцев и только потом устанавливать на ограниченное число машин. Конечно, такие жизненно важные вещи, как необходимость устранения ошибок системы защиты и ликвидация угроз атак типа “отказ в обслуживании” из-за наличия “дыры” DOMAIN-CREATE_ALI AS, обнаруженной уже после выпуска SP4, могут существенно скорректировать план ваших действий.

В процессе внесения исправлений нужно исходить из трех возможных уровней риска: отсутствие его, низкая или высокая степень. Отсутствие риска возможно только в лабораторной среде, при построении которой необходимо воссоздать реальную рабочую среду ваших серверов. Хотя, может быть, вам не под силу иметь про запас второй комплект аппаратного обеспечения, но, по крайней мере, установите идентичное ПО третьих фирм. (И все-таки лучше всего использовать одинаковое “железо”!) В нашей лаборатории мы исследовали трудности, которые могут возникнуть и у вас при внесении исправлений, связанных с контроллерами RAID, и установили их первопричину, успешно обновив после этого наши рабочие системы.

Следует также протестировать жизненно важное ПО, в частности для создания резервных копий, защиты от вирусов, службы справочника или приложения метасправочника. Поскольку в нашей корпоративной сети используется служба NDS для Windows NT, мы решили протестировать ее с бета-версией пакета SP5 (с тех пор у нас не возникало проблем с нею).

Следующим шагом исследования является тестирование с низкой степенью риска. Его следует проводить на тех рабочих серверах, которые можно отключать на короткое время. Они, как правило, имеют конфигурации, схожие с конфигурациями ваших основных серверов. Поэтому, не обнаружив проблем в своей лаборатории, вы должны выявить их здесь. У нас, например, используется специально выделенный для этой цели сервер отдела ИТ, и при любых нарушениях, связанных с тестированием, затрагивается только этот отдел.

В самую последнюю очередь вносят исправления в основные серверы — из-за связанного с ними высокого уровня риска. Если вы отработали установку “заплат” в условиях отсутствия риска или низкого риска, то вам, вероятно, должно повезти и с исправлениями в условиях высокого уровня риска. Проблемы, связанные с нагрузкой, должны быть выявлены на серверах низкого уровня риска — в процессе тестирования вам следует уделить им особое внимание.

Всегда устанавливайте сервисный пакет на серверах низкого и высокого уровней риска строго одинаково. К примеру, когда мы пытались установить пакет SP4 через разделяемое устройство CD-ROM, то столкнулись с неспособностью нашего более старого сервера поддерживать длинные имена файлов. Хотя эта поддержка и не имела большого значения для пакета SP3, пакет SP4 выдавал сообщение “файл не обнаружен” и “требовал” перезагрузки, после чего сервер посылал аварийный дамп на экран монитора. К счастью, намереваясь обновлять ПО рабочих серверов с сервера, отлаженного на предыдущей стадии, мы использовали диск восстановления (Emergency Repair Disk — ERD) и установили “заплаты” на оставшиеся серверы.

Настаивайте на согласованности

Очень важно поддерживать один и тот же уровень обновлений в рамках всей вашей корпоративной сети, даже если на первый взгляд это не очевидно. Мы столкнулись с проблемами службы WINS, которые не удалось устранить сразу же после установки “заплат”, но зато после обновления таким же образом остальных серверов они были устранены без труда. Не всегда представляется возможным “залатать дыры” всех серверов быстро и одновременно. Если вам не удается это, обновляйте серверы, объединенные в функциональные группы по доменным или доверительным отношениям.

Зная основы теории вероятностей и учитывая изобилие программного и аппаратного обеспечения третьих фирм, можно с уверенностью утверждать, что ни Microsoft, ни какая-либо другая фирма не сможет предсказать все возможные последствия установки сервисных пакетов. Конечно, типовые комбинации “железа” и ПО в сочетании с выверенными стратегиями тестирования сводят риск до минимума. Конечно, можно рассчитывать и на везение. Но, если вы представите себе, что будет в случае катастрофы, то ужаснетесь.

Рассчитывать на диск ERD — это не лучший способ предохранения от опасностей, особенно если вы не обновили его после всех изменений или усовершенствований системы. Если же вы обнаружите отсутствие некоторых файлов после установки “заплаты” или разрушенные файлы, в особенности ПО третьих фирм, (или если вам нужно вернуть систему в состояние, которое предшествовало обновлению), знайте, что есть несколько способов восстановления.

Используя файловую систему FAT, вы восстановите нужные файлы достаточно просто. Их можно скопировать из первоисточника, предварительно загрузив с дискеты DOS. Имея сеть или съемные дисководы, вам не придется прикладывать особых усилий для восстановления даже в случае необходимости скопировать большое число файлов.

Но реальность такова, что большинство администраторов, заботящихся о безопасности своей сети, используют файловую систему NTFS. Это значительно осложняет дело: вы не можете просто загрузить DOS и произвольно читать или записывать данные раздела NTFS. В этом случае обратитесь к ресурсу Microsoft Knowledge Base и прочитайте статью Q164471 “Replacing System Files Using a Modified Emergency Repair Disk”, где подробно описывается как можно модифицировать диск ERD, чтобы скопировать нужные файлы на системный диск, независимо от того, является ли он диском NTFS или нет.

В базе знаний Microsoft также указаны способы установки копии Windows NT в другую папку на жестком диске, чтобы вы могли, загрузив ее и работая с графическим интерфейсом, “починить” вашу основную систему. Хотя это все очень интересно, но данный процесс требует времени и осуществить его трудно. Что же в таком случае делать бедному системному администратору? К его радости, некоторые поставщики модифицируют установочные диски Windows NT, чтобы сделать возможным чтение и запись разделов NTFS. Этот инструментарий стоит той пары сотен долларов, которые вы заплатите за него, зато он сохранит ваши силы и позволит сэкономить время.

Так, например, ПО послеаварийного восстановления Replica фирмы Stac модифицирует установочные диски Windows NT таким образом, чтобы иметь возможность загружать копию вашего системного диска с ленточного накопителя. Это может полностью восстановить функции вашей системы из последней резервной копии или, значительно смягчив последствия аварии, восстановить их частично.

Если же вы просто-напросто хотите отключить ненадежный драйвер стороннего поставщика, переименовав его, или скопировать другую его версию в раздел NTFS, попробуйте применить одно из решений компании Winternals. Этот поставщик ПО (прежнее название — SysInternals) предлагает такие продукты, как ERD Commander, NTRecover и NTFSDOS. Они могут помочь вам восстановить разрушенный системный раздел NTFS.

ERD Commander во многом работает аналогично ПО Replica, используя модифицированные установочные диски Windows NT для загрузки драйверов NTFS и запуска модифицированной программы CMD.EXE. Используя его, вы сможете записывать файлы на системный диск.

ПО NTFSDOS предоставляет очень ограниченный доступ к файловой системе с применением загрузочного диска DOS. Оно не работает с отказоустойчивыми системными устройствами, что делает его использование на серверах масштаба предприятия проблематичным. Но в наших тестах NTFSDOS загружало сетевые драйверы DOS в сочетании с драйвером NTFS — ничего подобного не делал ни один другой протестированный нами продукт. Возможность аварийного сервера обращаться к другим серверам через сеть является несомненным достоинством данного ПО.

Продукт NTRecover обеспечивает соединение работающего сервера или рабочей станции Windows NT через кабель “нуль-модема” с аварийным сервером, загрузку на него системы с дискеты и монтирование его устройств с работающей машины. Продукт может обрабатывать различные файлы и обращаться к дисководу как к “реальному” устройству Windows NT. Мы протестировали NTRecover, запустив команду CHKDSK на выбранном нами системном разделе. ПО работало безукоризненно. Единственной проблемой NTRecover стала невысокая скорость передачи данных — 115 Кбит/с максимум, поэтому мы считаем нецелесообразным “перекачивание” с его помощью большого количества данных.





  
13 '1999
СОДЕРЖАНИЕ

колонка редактора

• Интернет на плечах гигантов

локальные сети

• Особенности демаркационного пункта на границе общедоступной и корпоративной оптических сетей

• Кабельные тестеры: наперегонки со стандартами

• Сервисные пакеты Windows NT 4.0: береженого Бог бережет

• Библиотеки DLT среднего уровня

бизнес

• Венгерская рапсодия OCS

интернет и интрасети

• Технология Java: на сервере и на клиенте

• Java - достойный соперник или претендент в чемпионы

новые продукты

• FastNet - система контроля уровня обслуживания в сетях передачи данных, Платформа компьютерной телефонии фирмы "Беркут", С SurviveIT -- как за каменной стеной

корпоративные сети

• Технологии управления трафиком

• "Блуждающие" пользователи: все надежды на Web

• "Повзрослевшие" мониторы приложений

услуги сетей связи

• Новые возможности старых знакомых

• Пора открывать коды, или Новый виток развития маршрутизации

• Планирование сети GSM

• Доступ к Интернет на основе спутниковых технологий

• Сигнализация в сетях IP-телефонии. Часть I

защита данных

• Пограничный контроль: руководство по антивирусным шлюзам



 Copyright © 1997-2005 ООО "Сети и Системы Связи". Тел. (495) 234-53-21. Факс (495) 974-7110. вверх